Netpulse_SasS/server/migrations/0038_download_tickets.sql

-- =====================================================================
-- NetPulse :: 0038_download_tickets.sql
-- Одноразові посилання на завантаження файлів.
--
-- Навіщо взагалі окремий механізм.
--
-- Уся автентифікація в продукті — Bearer-токен у заголовку. Заголовок
-- уміє додати лише fetch, а fetch віддає відповідь у пам'ять браузера.
-- Для звіту на сотні мегабайтів це означає зібрати весь файл у вкладці
-- перш ніж людина побачить перший байт — і в частині оточень (кіоски,
-- вбудовані webview, суворі політики CSP на blob:) збереження такого
-- об'єкта на диск просто не спрацьовує.
--
-- Файл має віддавати звичайне посилання, яке браузер завантажує сам,
-- своїм завантажувачем. А звичайне посилання не несе заголовків — отже,
-- право доступу мусить бути в самому URL.
--
-- Зразок узято з режиму NOC TV (core.dashboards.public_token): там теж
-- доступ дає токен у посиланні. Різниця в терміні життя й у тому, що
-- квиток нічим не керує — він відкриває рівно один об'єкт в одному
-- форматі й через дві хвилини мертвий.
--
-- Чому таблиця, а не підписаний URL. Підпис не відкликати й не
-- порахувати: ми б не знали ні того, що посиланням скористались, ні
-- того, скільки їх видано. Один рядок на завантаження коштує дешевше за
-- цю сліпоту, а прибирається він сам.
-- =====================================================================

CREATE TABLE core.download_tickets (
  -- Сам токен і є ключем: пошук іде рівно за ним, іншого доступу до
  -- рядка немає.
  token       text PRIMARY KEY,

  tenant_id   uuid NOT NULL REFERENCES core.tenants(id) ON DELETE CASCADE,
  -- Хто попросив. Потрібно не для перевірки (квиток самодостатній), а
  -- для розслідування: «звідки взявся цей файл» має мати відповідь.
  user_id     uuid REFERENCES core.users(id) ON DELETE SET NULL,

  -- Що саме відкриває квиток. Обробник розбирає kind і сам вирішує, як
  -- зібрати файл; object_id без kind нічого не означає.
  kind        text NOT NULL,
  object_id   uuid NOT NULL,
  -- Формат зафіксовано в квитку, а не в параметрі запиту: інакше одне
  -- посилання відкривало б і txt, і csv, і будь-що, що ми додамо потім.
  format      text NOT NULL DEFAULT '',

  -- Дві хвилини. Стільки живе шлях «натиснув кнопку → браузер пішов за
  -- файлом». Довше — це вже посилання, яке можна переслати в чат.
  expires_at  timestamptz NOT NULL,
  created_at  timestamptz NOT NULL DEFAULT now(),

  -- Перше використання. Квиток навмисно НЕ одноразовий: браузери
  -- повторюють запит при обриві й іноді ходять за файлом двічі
  -- (передзавантаження, відновлення докачки), і «одноразовість» ламала б
  -- завантаження рівно там, де мережа й так погана. Обмежує термін, а
  -- не лічильник.
  used_at     timestamptz
);

-- Прибирання протухлих іде за цим індексом.
CREATE INDEX download_tickets_expiry_idx ON core.download_tickets (expires_at);

-- ---------------------------------------------------------------------
-- RLS: як на решті таблиць із tenant_id (0011 накотився раніше й нових
-- таблиць не бачить).
--
-- Пошук за токеном свідомо відбувається поза тенантним контекстом — на
-- момент запиту особи ще немає, тенант з'ясовується з самого рядка. Це
-- той самий шлях, яким ходить публічний дашборд.
-- ---------------------------------------------------------------------

ALTER TABLE core.download_tickets ENABLE ROW LEVEL SECURITY;
ALTER TABLE core.download_tickets FORCE ROW LEVEL SECURITY;
CREATE POLICY tenant_isolation ON core.download_tickets
  USING (tenant_id = core.current_tenant())
  WITH CHECK (tenant_id = core.current_tenant());

GRANT SELECT, INSERT, UPDATE, DELETE ON core.download_tickets
  TO netpulse_app, netpulse_worker;

COMMENT ON TABLE core.download_tickets IS
  'Короткоживучі квитки на завантаження файлу звичайним посиланням';