-- Migration: 0005_verification_decisions
-- Replay-Schutz-Tabelle für die verification-service-Kette (DEV-612).
--
-- Jede erfolgreiche POST /api/v1/verify/chain-Antwort reserviert hier
-- genau eine Zeile. Ein zweiter Aufruf mit dem gleichen decision_id
-- löst keine Prüfung erneut aus, sondern liefert `valid=false,
-- replay=true` zurück (dummy-sink mappt das auf 409 Conflict).
--
-- Design-Entscheidungen:
--   * decision_id ist caller-chosen und opaque — TEXT PK statt UUID.
--   * approval_signer_key / transform_signer_key sind die DSSE-key_ids
--     (z. B. "trust-api/approval-signer-2026-q4"), nicht Agent-IDs.
--     Wer tatsächlich signiert hat, ist das Signaturartefakt, nicht der
--     Agent-Slug.
--   * payload_hash + sink_target werden mit protokolliert, damit sich
--     eine Replay-Abweisung nachträglich auditieren lässt
--     ("gleiche decision_id, aber Payload wurde verändert").
--   * NO FK auf approvals/attestations: diese Tabelle ist bewusst eine
--     Insel und darf nicht an die Lebenszyklen der Signatur-Services
--     gebunden werden.

CREATE TABLE IF NOT EXISTS verification_decisions (
    decision_id            TEXT PRIMARY KEY
                              CHECK (length(decision_id) BETWEEN 1 AND 256),
    approval_ref           TEXT NOT NULL
                              CHECK (approval_ref ~ '^sha256:[0-9a-f]{64}$'),
    transform_ref          TEXT NOT NULL
                              CHECK (transform_ref ~ '^sha256:[0-9a-f]{64}$'),
    payload_hash           TEXT NOT NULL
                              CHECK (payload_hash ~ '^sha256:[0-9a-f]{64}$'),
    sink_target            TEXT NOT NULL
                              CHECK (length(sink_target) BETWEEN 1 AND 256),
    approval_signer_key    TEXT NOT NULL
                              CHECK (length(approval_signer_key) BETWEEN 1 AND 256),
    transform_signer_key   TEXT NOT NULL
                              CHECK (length(transform_signer_key) BETWEEN 1 AND 256),
    created_at             TIMESTAMPTZ NOT NULL DEFAULT NOW()
);

-- Audit-Pfad: "wann wurde zuletzt auf diese Senke geschrieben?"
CREATE INDEX idx_verification_decisions_sink_created
    ON verification_decisions (sink_target, created_at);

-- Audit-Pfad: "welche Entscheidungen hängen an diesem approval_ref?"
CREATE INDEX idx_verification_decisions_approval
    ON verification_decisions (approval_ref);