Совместное редактирование документов

Realtime transport не решает задачу совместного редактирования сам по себе. Нужны проверенная модель convergence, durable acknowledgement, fenced session ownership, корректная offline sync, authorization revocation и контролируемый fan-out. Схема использует централизованный session actor и opaque updates реальной CRDT-библиотеки; она не изобретает новый текстовый алгоритм.

Что именно синхронизируется

Client хранит локальную CRDT replica и обменивается binary updates/state vectors. Для Yjs update contract коммутативен, ассоциативен и идемпотентен: порядок и повторная доставка не меняют итог при корректном применении библиотеки.

Псевдокод вида insert(position=42, char, replica_id) недостаточен:

• position 42 меняется после конкурентных вставок и удалений;
• lexicographic sort IDs не определяет все sequence/delete semantics;
• tombstone/GC, causality и nested structures остаются без доказательства;
• «одинаковый oplog order» не заменяет convergence contract.

Production выбирает зрелую реализацию, тестирует randomized convergence и хранит её protocol version. Server не разбирает update как произвольный JS и не считает самодельную структуру CRDT.

Durable edit path

1. WebSocket gateway проверяет attach token и текущий ACL.
2. Session router находит fenced owner документа.
3. Actor подтверждает lease epoch и повторно проверяет write permission.
4. Update с update_id записывается в durable log.
5. Только после durable append клиент получает ACK.
6. Actor группирует subscribers по gateway и создаёт delivery tasks.
7. Delivery workers вызывают owning WebSocket gateway; только он пишет в socket.

Broadcast actor → browser, обходящий WebSocket gateway, был бы ложным shortcut: actor не владеет пользовательским соединением и не применяет его backpressure, auth и disconnect state.

Stable update_id закрывает ambiguous ACK. Если actor упал после append, но до ACK/broadcast, retry не создаёт второе изменение, а replacement actor повторно доставляет уже committed update.