Changelog

Історія релізів пакетів Hopak з посиланнями на відповідні гіди з оновлення.

Нотатки до релізів пакетів Hopak. Кожен розділ посилається на відповідний гід з оновлення.

Поточні версії

1.0.1 — виправлення після повного наскрізного прогону

Кожну можливість 1.0 було перевірено на реальному заскафолдженому проєкті на всіх трьох діалектах. Що це виявило:

• Типи полів із плагінів тепер справді зберігають значення. Зареєстроване поле створювало колонку в таблиці, про яку Drizzle не знав, тож записи тихо втрачались (або падали, якщо колонка була NOT NULL). ctx.registerField тепер приймає { storage, schema } — оберіть text / integer / real / boolean / timestamp / json, а Hopak налаштує колонку та DDL для всіх трьох діалектів.
• model.tableName — фізична назва таблиці (post → posts) тепер лежить на моделі, тож сирий SQL і DDL міграцій більше не мусять її вгадувати. Раніше документація показувала FROM post, що ніколи не відповідало реальній таблиці.
• hashPassword у @hopak/auth — ідемпотентне хешування. Модель, що хешує у beforeCreate, і credentialsSignup хешували обидві, а подвійний хеш ніколи не збігався при вході.
• createTestServer({ plugins }) — проєкт із типами полів від плагіна взагалі неможливо було підняти тестовим сервером.
• crud.* будує схеми валідації ліниво, тож модулі маршрутів можна імпортувати до налаштування плагінів.
• ctx.setHeader доходить до кожної відповіді — статичних файлів, 404, 405, помилок і відповідей, які обробник створив сам.
• Старт попереджає про незастосовані міграції замість того, щоб перший запит помирав на відсутній таблиці.

1.0.0 — плагіни, хуки моделей, OpenAPI, realtime (breaking)

Усі п’ять пакетів переходять на 1.0.0 одним скоординованим релізом.

Нова поверхня — кожна можливість за одним явним жестом, невидима, доки Ви до неї не потягнетеся:

• Плагіни — hopak().use(plugin): власні типи полів (ctx.registerField + підклас FieldBuilder), plugin-middleware, хуки onBoot. Вбудовані поля реєструються через той самий реєстр.
• Хуки життєвого циклу моделей — model(name, fields, { hooks }): beforeCreate / afterCreate / beforeUpdate / afterUpdate / beforeDelete / afterDelete навколо однорядкових записів; хешування пароля стає одним хуком.
• OpenAPI — hopak openapi генерує OpenAPI 3.1-документ з моделей + маршрутів; CRUD-операції виходять повністю типізованими, схеми відповідей вирізають чутливі поля.
• WebSockets — export const WS = defineWebSocket({...}) у файлі маршруту; upgrade проходить через before-middleware, тож auth закриває і сокети.
• SSE — хелпер sse() для обробників маршрутів зі stream.send / stream.closed.
• rateLimit() — fixed-window in-process лімітер із Retry-After.
• Ліміт тіла запиту — server.maxRequestBodyBytes (типово 16 MiB → 413).
• Типізований CRUD — crud.read(post) — це RouteDefinition<Post>; новий хелпер WithIncluded<Row, Relations> типізує результати include; builder() типізований на фабриках діалектів.
• OAuth PKCE — code verifier, прив’язаний до кукі; типово увімкнено для Google, opt-in для GitHub. Приватні email GitHub розв’язуються через /user/emails.

Hardening:

• Статичні файли, 404 та 405 тепер проходять через глобальні middleware — access-логи та guard-и бачать кожен запит.
• Заголовки, встановлені через ctx.setHeader, доживають до відповідей з помилками (X-Request-Id, Retry-After).
• Умовні запити на статичних файлах: If-None-Match / If-Modified-Since → 304.
• Конкурентні транзакції SQLite ставляться у чергу замість колізії на спільному з’єднанні.
• ?limit=abc на CRUD-списках → 400 замість NaN, що доходить до SQL.
• hopak migrate up --to <unknown-id> завершується помилкою замість мовчазного застосування всього.
• credentialsLogin перевіряє fallback-хеш, коли користувача не існує — таймінг відповіді більше не видає існування облікового запису.

Breaking:

• db.execute() прибрано з публічного інтерфейсу Database (deprecated з 0.5). ctx.execute всередині міграцій залишається.
• OAuth-колбеки (githubCallback / googleCallback) тепер вимагають callbackUrl — однаковий набір параметрів для обох провайдерів.
• @hopak/testing оголошує @hopak/core / @hopak/common peer-залежностями.

→ Оновлення з 0.5 до 1.0

0.5.0 — db.sql, db.builder(), deprecated db.execute() (breaking)

• Новий примітив: db.sql — tagged-template SQL для тих ~5% запитів, що .model() не покриває. Інтерполяції стають driver-native placeholder-ами (? / $N); значення ніколи не потрапляють у текст SQL, тож ${attacker} безпечний by construction.
• Driver-native на кожному діалекті: SQLite йде через bun:sqlite.prepare().all(), Postgres через postgres.js sql.unsafe(), MySQL через mysql2 pool.execute(). Drizzle на шляху сирого SQL більше немає.
• db.raw() → db.builder(). Те саме повернення (Drizzle-клієнт діалекту), зрозуміліша назва. Breaking rename, механічна пошук+заміна.
• db.execute(sql, params?) позначено @deprecated — залишається як forwarder, щоб наявні файли міграцій компілювалися. Новий код пише db.sql. Прибрано в 0.6.0.
• MigrationContext отримує ctx.sql поруч з ctx.execute (теж deprecated). hopak migrate new за замовчуванням генерує ctx.sql.
• Внутрішній код фреймворку (tracker.ts, introspect.ts) переведено з cast-хака db.raw() as { all?, execute? } на db.sql.

→ Оновлення з 0.4 до 0.5

0.4.9 — Гігієна prototype-pollution у deepMerge

• deepMerge у @hopak/common відкидає ключі __proto__, constructor, prototype з source, тож JSON-пейлоад більше не може підмінити prototype chain результату. Перші регресійні тести для пакета common.
• Algorithm pinning у JWT-верифікації @hopak/auth: верифікатор більше не приймає токен, підписаний відмінним від налаштованого алгоритмом — закриває algorithm-confusion атаку.
• Static-file handler кешує canonical root path (realpath) на інстанс; symlink, що розрішується за межі public root, і далі падає коректно.
• FileField.maxSize(n) тепер реально обмежує Valibot-схему на валідації, а не лише на config-write.

0.4.0 — Valibot, безпечніша валідація

• Runtime валідації переведено з Zod на Valibot: бандл ~10× менший, парсинг ~2–3× швидший.
• validate() та buildModelSchema() зберігають той самий API; model-driven валідація лишається незмінною.
• RouteSchemas.body | query | params тепер мають тип v.GenericSchema замість z.ZodType.
• @hopak/core більше не залежить від zod.
• Експорт типу ZodFieldSchema перейменовано на FieldSchema.

→ Оновлення з 0.3 до 0.4

0.3.0 — Міграції

• Нові підкоманди hopak migrate: init, new, up, down, status.
• hopak sync стає шляхом dev-бутстрапу; він відмовляється виконуватись, щойно в app/migrations/ з’являються файли.
• hopak dev пропускає виклик db.sync() на старті, коли є міграції — рантайм ніколи не змінює схему самостійно.
• hopak sync тепер виводить попередження про дрейф, коли моделі оголошують колонки, яких немає в активній БД.
• .index() на полі тепер дійсно створює CREATE INDEX IF NOT EXISTS під час sync (раніше мовчки ігнорувалося).
• Новий публічний API: ctx.db.execute(sql, params?) для сирого SQL.

→ Оновлення з 0.2 до 0.3

0.2.0 — Скафолдинг CRUD (breaking)

• CRUD-ендпоінти переходять з runtime-генерації на скафолдинг через hopak generate crud <model>.
• { crud: true } на моделях прибрано; файли маршрутів стають реальними .ts, які Ви можете читати й редагувати.
• Dev-сертифікати HTTPS вимагають hopak generate cert — старт більше не викликає openssl за Вашою спиною.
• @hopak/testing відмовляється від withCrud: true; під’єднуйте маршрути через нові хелпери crud.* або передавайте rootDir для наскрізних тестів.
• Прибрано невикористовувані опції моделі: owner, publicRead, auth, softDelete.

→ Оновлення з 0.1.x

0.1.0 — Перший реліз

• Моделі, зв’язки, ергономіка запитів, валідація, серіалізація, типізовані помилки.
• CRUD, згенерований у рантаймі через { crud: true }, dev-сертифікати, створені у рантаймі для server.https.enabled.
• Перша версія CLI: hopak new, hopak use, hopak sync, hopak check, hopak dev.