# module: ledger

职责:      台账:三级寻址、通用事务接口、schema 自生长(最大化合并 / 最宽类型 / 只增不破坏)、
           任务级草稿层与任务视图、写三分、数据冲突检查
不负责:    放行时机与落地预检的编排(见 release)、数据事件的投递与三级消费(见 event)、
           动作意向的执行(见 toolbox / release)

公开出口:  index.ts
  - 类型:`LedgerService` `SystemWrite` `DraftWrite` `ReleaseWriteResult` `SchemaApplyResult`
          `ObjectAddress` `MergedObject` `MergeNotice` `MergeConflict` `ConflictFinding`
  - 错误:`DraftConflictError` `SchemaConflictError` `ObjectNotMaterializedError`
  - 端口类型:`LedgerStore` `DraftStore` `EventPublisher` `Clock` `IdGenerator` `ObjectRef`
  - 用例工厂:`createLedgerService(deps: LedgerServiceDeps): LedgerService`
  - 纯函数(供 activity-registry 静态审复用):`mergeDeclarations` `planSchemaChanges`
          `planIsNonDestructive` `widen` `overlay` `detectConflicts` `keyOf` `pickKey`
  - adapter 工厂:`createLedgerStore(pool)` `createDraftStore(runner)` `tableNameOf`
          `DRAFT_DDL` `DRAFT_TABLE`

层级:      L1(编码规范 §4)
依赖:      @contracts;@shared/db(LEDGER_SCHEMA)
           port:`EventPublisher`(app 注入 event)、`Clock`、`IdGenerator`、`LedgerStore`、`DraftStore`
被依赖:    channel, release, activity-registry, loop-engine, flow-engine, task, trigger,
           app(治理台 · 数据管理路由)

不变量:
  - **写三分是三个方法**:`systemWrite` / `draftWrite` / `releaseWrite` —— 无第四条写入路径,
    调用方拿不到带 flag 的「绕门」形态(§12.5#9)
  - 正式版写入(system / release)**必**产生数据事件;草稿写**必不**产生
  - `releaseWrite` 先过数据冲突检查:任一冲突即抛 `DraftConflictError`,不做部分合并
  - 合并只增不破坏:`planSchemaChanges` 永不产出删列 / 缩窄;主键一经建立不得由声明变更
  - 同名异型取能兼容双方的最宽类型(integer→number→text;date→timestamp→text);
    `json` 与标量语义互斥 —— 拦下,交数据管理裁决
  - 脱敏取或:任一声明要求脱敏即脱敏(安全方向单调)
  - `ledger` schema 的唯一写者是本模块 adapter;SQL 拼接只在 `ledger-store.ts`,
    标识符过 `IDENT` 正则 + `quoteIdent`

影响半径:  index/contract/port 未变 → 对外零影响