Référence API, RPC et base de données

4) Validation anti-chevauchement (même rang : croisement partiel interdit, imbrication tolérée). Fermetures exclues, périodes sans dates ignorées. Miroir SQL EXACT de la fonction pure TS periodsPartialOverlap : intersection ensembliste des jours couverts.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

4.1 Le plancher dur : modules JAMAIS montrés/acceptés côté acteur, quelle que soit la config. §18 Juridique (legal), §19 Suivi prestataire (provider-follow-up = notes privées), §21 Publication (publication), §22 Identifiants externes (sync-identifiers), plus les modules READONLY de l'éditeur (distribution, provider). Ajout 2026-09-02 : relationships (son writer auto save_object_relations réécrit object_org_link ET actor_object_role — le périmètre même de l'acteur), places (save_object_places supprime les médias des sous-lieux absents du payload), media (aucun chemin d'upload ni d'application pour un acteur, D11). Fonction plutôt que table : non paramétrable PAR CONSTRUCTION.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

===================================================== Function to add a legal record =====================================================

Service-only atomic 12/60s sliding AI request admission per verified user and route. No provider text/key stored. Local CPU leases remain separate.

18a/D9 — approuve une soumission entière. p_include_manual=FALSE (défaut) SAUTE les changements sans writer et les laisse pending : la soumission reste ouverte tant que l'office n'a pas attesté les avoir reportés. Ne pose pas le statut agrégé (trigger §8).

P2.1 §120 + 18a/D9 — approuve : re-dispatch whitelisté (SEPT writers, miroir de submit_actor_fiche), OU approbation ATTESTÉE (p_applied_manually) d'un changement sans writer, qui pose status=approved (jamais applied) et estampille metadata.applied_manually/attested_by/attested_at. Le 3e paramètre a un DÉFAUT : l'appel historique à deux arguments est inchangé.

== 4. Generic applicability trigger ======================================== Pattern B validator (cf. api.validate_object_taxonomy_assignment): SECURITY INVOKER, house search_path. Cost per row: 2 PK probes + 1 two-key PK probe -- hot-path safe (§37).

Déclenchée par
trigger:public.object_act:trg_assert_facet_applicable, trigger:public.object_fma:trg_assert_facet_applicable, trigger:public.object_fma_occurrence:trg_assert_facet_applicable, trigger:public.object_iti:trg_assert_facet_applicable, trigger:public.object_iti_associated_object:trg_assert_facet_applicable, trigger:public.object_iti_info:trg_assert_facet_applicable, trigger:public.object_iti_practice:trg_assert_facet_applicable, trigger:public.object_iti_profile:trg_assert_facet_applicable, trigger:public.object_iti_section:trg_assert_facet_applicable, trigger:public.object_iti_stage:trg_assert_facet_applicable, trigger:public.object_meeting_room:trg_assert_facet_applicable, trigger:public.object_menu:trg_assert_facet_applicable +1

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

== 5. Guard on object.object_type changes ==================================

Déclenchée par
trigger:public.object:trg_guard_object_type_change

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

===================================================== Function to audit legal compliance across all objects =====================================================

Déclenchée par
trigger:public.object:trg_auto_attach_object_to_creator_org

Déclenchée par
trigger:public.crm_interaction:trg_auto_populate_interaction_subject

This read prevents NEW route requests while an existing durable user operation has outstanding tasks. It does not reserve or drain an already admitted HTTP upload, and it cannot fence external service-role writers or old instances.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Génération d'ID si absent

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Déclenchée par
trigger:public.object:trg_before_insert_object_generate_id

5) Read path: emit the period type code (+ all_years) so the editor round-trips.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

5) Read path: emit the period type code (+ all_years) so the editor round-trips.

Suppression : réservée au rang admin le plus élevé de l'ORG (org_admin) ou au superuser plateforme.

Auteur, supérieur hiérarchique direct dans la même ORG, ou superuser plateforme. Utilisé pour modifier / archiver une note.

SOURCE AUTORITAIRE (§208) de la règle « qui voit les coordonnées complètes d'un acteur » : superuser plateforme (lu dans app_user_profile.role — délibérément PAS api.is_platform_superuser(), dont le premier bras dirait TRUE à une clé service_role) OU membre d'une ORG publisher de la fiche (api.current_user_crm_object_ids). FALSE hors contexte HTTP et en service-role (auth.uid() NULL) : un export de PII est imputable à une personne. Forme PAR FICHE, appelée par api.export_actor_capabilities et par l'éditeur. DEUX autres formulations existent (tâche 7, 2026-08-08, mise à jour depuis « UNE seule ») : la forme ensembliste du périmètre dans api.export_actor_contacts (duplication délibérée §204), et le bras superuser de la cascade prestataire→fiche de api.list_selection_emails (migration_selection_emails.sql, §211 plié au régime §208) — faire évoluer les TROIS ensemble.

A policy must not traverse ref_document as the caller: it would recurse into its own RLS. This boolean definer reveals no location and bypasses row policies only while evaluating the existing legal right plus exact ownership mapping.

Boolean per-row predicate kept as the single gate used by api.can_read_object -> the ~40 object-child read policies (P0.3). Delegates to the set function above (one source of truth); MUST stay byte-equivalent to it. Was an inline 4-path WITH (see git history); set-based now.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

1) Single source of truth for "is this object's data readable by the current caller".

Retourne TRUE si l'utilisateur courant peut consulter les notes privées depuis le périmètre de son organisation active.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Retourne TRUE si l'utilisateur courant peut écrire une note privée pour l'objet dans le périmètre de son organisation active.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Capture current real and test KPI stocks independently. p_date labels a current capture, not a historical reconstruction.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Trigger : garantit que org_object_id pointe vers un objet de type 'ORG'. Un CHECK constraint ne peut pas référencer une autre table en PostgreSQL ; le trigger est la solution correcte.

Déclenchée par
trigger:public.user_org_membership:check_membership_org_type

===================================================== Function to check if an object has all required legal records =====================================================

Garde type ORG (miroir de api.check_org_config_org_type — table à part, message dédié).

Déclenchée par
trigger:public.org_branding_settings:trg_check_org_branding_org_type

Trigger : garantit que org_object_id pointe vers un objet de type 'ORG'.

Déclenchée par
trigger:public.org_config:check_org_config_org_type

Trigger : garantit que org_object_id pointe vers un objet de type 'ORG'. Un CHECK constraint ne peut pas référencer une autre table en PostgreSQL ; le trigger est la solution correcte (même pattern que check_membership_org_type et check_org_config_org_type).

Déclenchée par
trigger:public.org_permission:check_org_permission_org_type

Déclenchée par
trigger:public.org_smtp_settings:trg_check_org_smtp_org_type

Outbox e-mail : crm_task_assigned et fiche_submission_reviewed (TTL 10 min, SKIP LOCKED, 5 tentatives). Contenu joint en DB, creator_email/creator_name issus de crm_task.created_by pour les assignations uniquement. Réservée au drain Next en service_role.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Only the trusted uploader can acknowledge the exact prepared bytes and locator.

───────────────────────────────────────────────────────────────────────────────────── 7.6 api.create_crm_artifacts_from_incident — corps schema_unified traduit ───────────────────────────────────────────────────────────────────────────────────── ⚠ CETTE FONCTION ÉCRIT DANS LES DEUX VOCABULAIRES. L'INSERT INTERACTION passe de 'done' à 'resolved' (la note d'incident EST écrite) ; l'INSERT TÂCHE dix-neuf lignes plus bas garde 'todo' — c'est un `crm_task_status`, il n'a RIEN à voir avec le cycle de vie des demandes.

Déclenchée par
trigger:public.incident_report:trg_incident_report_after_insert

Création d'une liste : tout membre connecté d'une ORG (lecteurs compris). Items statiques admis published ET du bon corpus de test (§2/§4 revue architecte).

§09: dedup-guarded GLOBAL tag creation. Gated per-object. Dedup on ref_tag.name_normalized; slug inline; gen_random_uuid; created_by set. Color is a HEX #rrggbb (global per tag); defaults to #64748b.

Libellé affichable d'un utilisateur : display_name, à défaut « Utilisateur xxxxxxxx ». Source unique du repli — les sérialiseurs de tâche et de notification l'appellent tous.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Retourne l'ORG active de l'utilisateur courant (id + nom), pour le libellé côté éditeur du sélecteur de périmètre des descriptions. Le serveur reste autoritaire ; le client n'utilise ce nom que pour l'affichage.

Current authenticated actor profile binding; demotion or unlink removes portal identity immediately.

Retourne le rang admin actif du user courant dans son ORG active (NULL si aucun).

Retourne le code du rôle admin actif du user courant (NULL si pas de rôle admin). Traverse : user_org_membership → user_org_admin_role → ref_org_admin_role. Le rôle admin ne bypasse pas api.user_has_permission() (§2.6 du plan).

Retourne le code du rôle métier actif du user courant (NULL si aucun). Traverse : user_org_membership → user_org_business_role → ref_org_business_role. Usage : affichage, contexte session — pas de logique de permission ici.

===================================================== Capability check : "le user courant peut-il éditer des objets ?" ===================================================== TRUE quand l'utilisateur a au moins une voie d'édition sur le périmètre de son organisation active : 1. superuser plateforme (owner / super_admin / service_role / admin), 2. rôle admin actif dans son ORG (peu importe le rang), 3. permission métier d'édition sur n'importe quel objet : create_object, edit_canonical_when_publisher, edit_org_enrichment, publish_object. Usage : la fonction est consommée par le frontend Explorer pour décider s'il doit afficher les statuts non publiés (draft) des objets de l'ORG. Elle ne porte AUCUNE logique d'autorisation sur une fiche précise — la RLS (cf. api.can_read_extended) reste seule à gater l'accès ligne par ligne. Un membre simple en lecture seule (pas d'admin role, pas de permission métier d'édition) renvoie FALSE et n'a donc accès qu'aux fiches publiées. STABLE + SECURITY DEFINER : pour traverser ref_permission / org_permission / user_permission sans dépendre des policies RLS de ces tables.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Permission dédiée au bloc CRM Accès portail. Superutilisateur plateforme ou permission explicite ; aucun rôle métier ne la reçoit par défaut. Les gardes CRM par acteur restent requises.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Sonde d'interface : l'utilisateur courant peut-il écrire des notes CRM ? Reproduit la garde de api.user_can_write_crm_actor (write_crm_notes OU rang admin d'ORG OU superuser) SANS son arme de périmètre. Source de vérité UNIQUE — le front ne doit jamais re-transcrire cette chaîne de OR. Chantier 2026-08-28, manifeste 17c.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Prospects without object links remain scoped to the active CRM organisation.

---------- 7. Helpers d'autorisation (style current_user_extended_object_ids, §35) ---------- Périmètre CRM = objets dont une ORG du user (membership actif) est PUBLISHER. Volontairement plus étroit que extended (pas d'arme acteur, pas d'arme all_published) : le CRM est le pilotage interne de l'ORG publicatrice, pas un droit d'édition.

Email courant (JWT claims)

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Set form of api.can_read_extended: the current user's extended-readable object ids, computed once (RLS-bypassed). Used by the object SELECT policy as a hashed-set membership test to avoid per-row predicate evaluation. Keep byte-equivalent to can_read_extended's 4 paths.

1. Admin-gate helper — single source for the §22 front gate (mirrors the write gate exactly).

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Retourne l'org_object_id actif du user courant (NULL si aucun membership actif). Pour un tourism_agent, au plus une ORG active existe (contrainte enforce_single_active_org_membership). Pour un owner/super_admin, retourne la première trouvée (usage interne uniquement).

18a portail acteur — fiches du portail : liens actor_object_role NON expirés de MON actor_id, hors ORG.

1) "Objects visible to me" = published ∪ my extended scope. Single source of truth for the object-level read visibility (the `object` table's own SELECT predicate, as a SET). SECURITY DEFINER so the published scan bypasses RLS; returns only object ids. Reuses §35's set fn.

Realm de lecture du user courant : true = bac a sable, false = production (jamais NULL). service_role et anon renvoient false — l'API partenaire ne voit donc jamais le corpus de test. Garde a double sens : o.is_test = (SELECT api.current_user_test_realm()).

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Suppression d'un canal (gate par l'acteur de la ligne, mêmes erreurs P0002/42501).

Suppression d'une interaction (même gate d'écriture ; arme objet si contexte, sinon arme acteur — object_id nullable ⇒ existence par FOUND, pas par IS NULL).

===================================================================== 12. Suppression — verrou AVANT décision (§5 revue architecte) ===================================================================== Corps inchangé depuis migration_object_list.sql à part le verrou : cette fonction n'avait jamais été touchée avant cette revue, mais son SENS change avec is_featured (user_can_write_list en dépend désormais).

===================================================== Function to mark a document as delivered =====================================================

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Duplication indépendante dans l'ORG active de l'appelant : nouveau propriétaire, active, non proposée, non mise à la une, sans token ni historique d'envoi ni destinataire personnel. Statique → copie items ; dynamique → conserve les filtres (résolution vive, pas de figeage). Les items copiés restent soumis au filtre published-only à la LECTURE (§4) sur la copie comme sur l'original : aucun risque supplémentaire à ne pas filtrer la copie elle-même.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Déclenchée par
trigger:public.actor_channel:trg_actor_channel_email

Garde d'écriture d'app_user_profile : `role` (historique) ET, depuis 18a, `actor_id` — le lien qui PORTE la portée du portail acteur. Attribution réservée au service_role (route /api/crm/actor-access) ou à un owner agissant sur un AUTRE profil ; l'effacement (NULL) reste libre pour le déliage RGPD et la cascade FK.

Déclenchée par
trigger:public.app_user_profile:enforce_app_user_profile_role_change

Email shape enforcement (object + actor)

Déclenchée par
trigger:public.contact_channel:trg_contact_channel_email

Trigger : contrainte "1 user tourism_agent = 1 ORG active". Un index partiel unique WHERE is_active = TRUE s'appliquerait à TOUS les users, y compris owner/super_admin. Le trigger permet d'appliquer la règle sélectivement. Durcissements par rapport à la version naïve : 1. pg_advisory_xact_lock(user_id) : sérialise les transactions concurrentes sur le même user_id — élimine le TOCTOU sur les INSERTs simultanés. 2. SELECT ... FOR NO KEY UPDATE : verrouille les lignes actives existantes pendant la vérification — empêche une transaction concurrente de désactiver/réactiver un membership pendant que la nôtre lit. 3. Le trigger se déclenche aussi sur UPDATE OF user_id : si user_id est modifié sur un membership actif, la contrainte est revérifiée pour le nouveau user_id. 4. id IS DISTINCT FROM NEW.id remplace la condition TG_OP redondante : en BEFORE INSERT la ligne n'existe pas encore, l'exclusion est toujours correcte.

Déclenchée par
trigger:public.user_org_membership:enforce_single_active_org_membership

===================================================================== 16. Lien de partage — verrou AVANT décision, jamais un touch de l'horloge ===================================================================== Accessible à tout utilisateur autorisé à UTILISER la liste (pas seulement l'éditeur) : un lecteur d'une liste à la une peut obtenir/copier son lien. Réutilise le lien actif SANS toucher son expiration. Peut générer le PREMIER lien s'il n'en existe encore aucun. Un lien EXISTANT mais désactivé/expiré n'est PAS réactivé ici, pour QUICONQUE : erreur claire SHARE_NOT_AVAILABLE — un éditeur réactive via api.share_list, un geste explicite et distinct. Verrou FOR UPDATE AVANT toute décision (§5 revue architecte) : deux premiers partages concurrents doivent converger sur le MÊME token, jamais sur deux tokens distincts qui s'écrasent l'un l'autre.

Préflight ERGONOMIQUE (§208 R2) de la modale d'export : deux booléens agrégés sur la sélection réelle — l'offre de colonnes acteur suit la consultation effective, pas un proxy « membre d'une ORG ». N'est JAMAIS une garde : api.export_actor_contacts refait tous les contrôles fiche par fiche et c'est lui seul qui journalise. Appelle api.can_read_actor_contacts (source autoritaire) plutôt que de la retranscrire ; chaque bras est intersecté avec le périmètre lisible de l'appelant (§36) — aucun oracle d'existence sur un id non lu. PLAFOND DUR de 500 ids après dédoublonnage (BATCH_TOO_LARGE, SQLSTATE 22023), identique à celui de api.export_actor_contacts : la garde appelée est SECURITY DEFINER donc non inlinable, et le pire cas (sélection intégralement refusée, le cas d'un appelant hostile) coûte 2 évaluations par id — le plafond est ce qui borne réellement ce fan-out, pas l'ordre des bras du OR.

Export JOURNALISÉ des coordonnées d'acteur (§208), seule voie autorisée : autorise-une-fois (§36 — la liste d'ids du client n'est jamais de confiance, elle est réduite fiche par fiche au périmètre de l'appelant), finalité validée serveur (5–500 car.), format xlsx|csv, dédoublonnage serveur, plafond dur de 500 ids par appel, puis écriture d'une ligne dans public.actor_contact_export_log DANS LA MÊME TRANSACTION que la lecture. Sélection mixte : sert l'autorisé et NOMME le refusé (denied_object_ids) ; tout-refusé ⇒ FORBIDDEN (42501) et — limite assumée — aucune ligne de journal. Pas de GRANT à service_role : un export de PII est imputable à une personne. Le bras de périmètre est la forme ensembliste de api.can_read_actor_contacts (duplication délibérée §204) : faire évoluer les deux ensemble.

Batch GPX export for multiple itineraries

Export full GPX with metadata and stages

===================================================== Publication export for print workflows (InDesign-ready) =====================================================

== 6. Violations report (ops/CI; legacy rows are NOT auto-deleted) =========

===================================================== Function to generate legal expiry notifications =====================================================

generate_object_id (HOTAQU000V5014ZU-like)

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

===================================================== Helper: Get enriched actor data with contacts =====================================================

4.3 Lecture de la matrice pour /settings (org + type explicites). Membres actifs de l'ORG uniquement (même périmètre que la policy SELECT d'org_role_permission).

===================================================== Optimized function to get all opening time slots for a period =====================================================

Payload branding authentifié — résout la surcharge ORG selon le membership actif, champ par champ, fallback plateforme. markerStyles/extra plateforme. Clé orgObjectId = ORG résolue (NULL si aucun membership).

Dashboard §10: per-type freshness breakdown against a configurable threshold. Tiers: up_to_date (< p_threshold_days old), to_review (threshold..2x threshold), stale (> 2x threshold). rate = percentage up_to_date. weekly_rates is NULL until Phase 2B adds the object_version time-series join. updated_at reflects meaningful business edits only (cache-only changes are excluded by the update_object_updated_at_business trigger). ORG objects excluded. p_updated_at_from/to scope the object pool (inclusive DATE boundaries).

Dashboard §2b: top cities by object count within the filtered pool. Reads is_main_location=true from object_location; excludes null/empty cities. delta_30d counts objects created (not updated) in that city in the last 30 days. ORG objects excluded. p_updated_at_from/to are inclusive DATE boundaries.

Returns a sorted TEXT[] of distinct cities present in object_location (is_main_location=true, non-null/non-empty) for all non-ORG objects, any status. No filter parameters. Used to populate the dashboard city filter dropdown. Represents the full corpus city domain, not the current filtered slice.

Dashboard Qualité: remplissage « perçu visiteur » par type. Lit internal.v_object_essentials (§204, source unique du bundle) — le calcul était auparavant recopié dans ce corps. Par type: score moyen 0-100, % fiches complètes-visiteur, essentiel le plus manquant, liste des fiches <80 (plafonnée par p_below_limit). ORG exclus. p_updated_at_from/to bornes DATE inclusives.

CRM age, topics, flow and net processing time in the caller real/test realm.

Open CRM counters in the caller real/test realm, independent of object facets. Provider RPC uses the same base realm.

Dashboard §5: overview of objects carrying at least one granted qualification, classification, or label. Scope is driven by ref_classification_scheme.is_distinction = TRUE — no hardcoded list. To add a new label, seed its scheme with is_distinction = TRUE; this function picks it up automatically. Typological schemes (type_hot, retail_category) keep is_distinction = FALSE and are excluded. Returns global rate + per-scheme breakdown sorted by count DESC. ORG objects excluded. p_updated_at_from/to are inclusive DATE boundaries.

Returns { cities: text[], lieu_dits: text[] } as jsonb — sorted, btrim-cleaned, distinct values from object_location (is_main_location=true) for all non-ORG objects, any status. Both arrays represent the full corpus domain (not the current filtered slice). Used to populate the city and lieu-dit filter dropdowns on the dashboard sidebar in one call.

Returns a sorted TEXT[] of distinct lieux-dits (btrim-cleaned, non-null/non-empty) from object_location (is_main_location=true) for all non-ORG objects, any status. No filter parameters. Used to populate the dashboard lieu-dit filter dropdown. Represents the full corpus lieu-dit domain, not the current filtered slice.

Dashboard §1: hero scorecard aggregates for the filtered object pool. Returns total/published counts, pending_change count (scoped to same pool), 30-day creation delta vs the prior 30 days, and average processing delay (COALESCE(applied_at, reviewed_at) - submitted_at) for resolved pending_changes. avg_completeness = weighted mean of api.get_dashboard_completeness avg_score per type (single source of truth for the 8-essential formula; NULL when the pool is empty). distinctions / distinctions_pct = objects holding >=1 granted official classement/label (ref_classification_scheme.is_distinction), scoped to the same dated pool. ORG objects excluded. p_updated_at_from/to are inclusive DATE boundaries.

Twelve weeks of author activity on tourism objects in the caller real/test realm; unchanged editor-day formulas.

Dashboard §2a: object count broken down by object_type within the filtered pool. Each row includes per-status counts and the type's share of the total. ORG objects excluded. p_updated_at_from/to are inclusive DATE boundaries.

===================================================== Function to get expiring legal records =====================================================

===================================================== Function to get expiring legal records in API format =====================================================

---- 1) api.get_filtered_object_ids (corps complet §157+§162+§173) ----

Get track with stages as GeoJSON FeatureCollection

Simplified track for map display (lightweight GeoJSON)

Only SectionLegal and its legal-document modal request this existing legal context. The card and Classification keep the canonical RPC above.

===================================================================== 8. Détail public (authenticated) — inchangé en surface, corps factorisé =====================================================================

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

§157 — variante paramétrée du résolveur d'heure locale : même validation « pas cher » de la zone (AT TIME ZONE lève 22023, attrapé → Indian/Reunion, cf. §37 — JAMAIS de scan pg_timezone_names sur un hot path), évaluée à un instant ARBITRAIRE. C'est la brique du moteur d'ouverture paramétré (internal.compute_open_status) qui rend possible « ouvert à 18 h » alors qu'il est 10 h. get_local_now_for_timezone délègue (une seule implémentation).

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

===================================================== Get filtered media for web display (excludes internal/sensitive) =====================================================

Realm-scoped metric series plus exact first/last source snapshot dates. Weekly buckets never define history duration; legacy tabular reader stays compatible.

18a — profil de LA persona acteur courante (current_user_actor_id()), lecture seule v1. Ne constitue PAS une 5e formulation du périmètre PII can_read_actor_contacts : il ne lit jamais qu'UN acteur, le sien.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

Compact amenity code array for cards, maps and LCP/list payloads. Uses canonical cached_amenity_codes, never legacy wheelchair_access.

Compact badges from official classifications, sustainability actions and canonical acc_* accessibility amenities.

===================================================== Lightweight card read model (single + batch) =====================================================

Batch wrapper for get_object_resource_adapted. Returns adapted/FALC resources for multiple objects, preserving input order.

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

2) cards_batch -> SECURITY DEFINER + authorize-once. Body is byte-identical to the step-5 definition in api_views_functions.sql EXCEPT THREE changes: (a) the SECURITY DEFINER clause below; (b) the `distinct_ids` CTE gains the authorize-once gate — `WHERE EXISTS(published) OR id IN (SELECT api.current_user_extended_object_ids())` (§38 published-only fast-path: the set-equivalent split of `… current_user_readable_object_ids()` that skips the extended scan for an all-published page; every downstream child CTE joins distinct_ids); and (c) `main_description` re-applies the object_description visibility RLS this DEFINER body bypasses (see the inline note there — the only field-level read gate among the tables read).

Compact environment tag payload for cards, maps and LCP/list payloads.

Partner i18n=all block (audit API C-5): object_description free-text family as {field:{lang:plain text}} (strip_markdown per language, public-visibility only, published-gated). service_role-only.

Partner interop serializer (audit API I4 §137): datatourisme (JSON-LD) / apidae / tourinsoft (bespoke JSON) document for a PUBLISHED object; @type/class from the nearest mapped taxonomy ancestor (closure depth ASC), then the object_type fallback in ref_interop_crosswalk (table-driven), core via api.interop_object_core (public-only). service_role-only; unmapped/unpublished/unknown-profile => NULL. Core-fields subset — validate field-level conformance against the target importer before production sync.

Partner JSON-LD serializer (audit API I4): schema.org output for a PUBLISHED object, @type from ref_interop_crosswalk (table-driven), public-only contacts/media/web-channels, plain-text description (strip_markdown). service_role-only; unmapped/unpublished => NULL. §136.

===================================================== Function to get legal compliance in API format =====================================================

===================================================== Function to get legal data in API format =====================================================

===================================================== Function to get all legal records for an object =====================================================

===================================================== Function to get legal records filtered by visibility =====================================================

===================================================== Lightweight map view API - returns minimal object data =====================================================

===================================================== Function to get private legal records only (for parent org) =====================================================

===================================================== Function to get public legal records only =====================================================

Migration: Markdown D2 -- sub-place description (object_place_description) Manifest id: 15c Decision log: §112 Date: 2026-06-22 Summary: One body-only edit inside api.get_object_resource (CREATE OR REPLACE, signature unchanged): api.get_object_resource -- places block (~line 3878 in api_views_functions.sql): BEFORE: 'descriptions', COALESCE(( SELECT jsonb_agg((to_jsonb(pd) - 'place_id') <-- leaks all raw prose + *_i18n columns ORDER BY ... AFTER: 'descriptions', COALESCE(( SELECT jsonb_agg( -- §112 Markdown: explicit override. ONLY the flat scalar prose keys are -- dropped (the || override re-emits them stripped). §112 C1 fix: the raw -- *_i18n maps are NOT subtracted — the place editor loads from THIS block -- and reads them for its per-language values (editor leg; subtracting them -- NULLed translations on the next §16 save). (to_jsonb(pd) - 'place_id' - 'description' - 'description_chapo' - 'description_mobile' - 'description_edition' - 'description_adapted') || jsonb_build_object( 'description', api.strip_markdown(COALESCE(api.i18n_pick(...), pd.description)), 'description_md', COALESCE(api.i18n_pick(...), pd.description), 'description_raw', pd.description, -- editor round-trip base 'description_chapo', api.strip_markdown(COALESCE(...)), 'description_chapo_md', COALESCE(...), 'description_chapo_raw', pd.description_chapo, ... (same pattern for mobile/edition/adapted) ) ORDER BY ... Per field, the public keys are <col> (stripped) + <col>_md (resolved raw); the editor legs are <col>_raw (raw scalar base, read by parseDescriptionScope scope='place') AND the kept raw <col>_i18n map (per-language values). Only <col> (flat scalar) is dropped from to_jsonb so the stripped override wins; <col>_i18n stays raw (no flat consumer resolves it). No schema_unified.sql fold needed: api.get_object_resource body lives ONLY in api_views_functions.sql. Folded: api_views_functions.sql (canonical source, updated in place). Deploy: 1. Deploy api.get_object_resource via: node .tmp_pgapply/apply_range.cjs <start_line> <end_line>

FALC/Accessibility-friendly resource read model. Returns a simplified JSON with description_adapted preferred over regular description, essential location, primary phone/email contacts, main image, and LBL_TOURISME_HANDICAP accessibility labels (V5 canonical code).

===================================================== Batch wrapper for get_object_resource (performance optimization) Fetches resources for multiple objects while preserving order =====================================================

Aucune lecture/écriture inférée par le graphe. Cas fréquent pour les helpers purs, triggers simples ou SQL dynamique non analysable.

===================================================== Get object reviews with aggregates (external imports) =====================================================

===================================================== Get room types for accommodations =====================================================

Compact object tag payload for cards, maps and LCP/list payloads. Ordered by tag_link.position (§09 per-object priority).

Compact taxonomy payload for cards, maps and other LCP/list payloads.