CREATE TABLE personal_tokens (

id UUID PRIMARY KEY,

-- **有外键且级联**，与 `audit_events.actor_id` 的裸 UUID 相反：

-- 台账要活得比用户久，钥匙不该。人没了，他的钥匙就该一起没

user_id UUID NOT NULL REFERENCES users(id) ON DELETE CASCADE,

-- 人自己起的名字，"我的笔记本"。撤销时要认得出撤的是哪一把

name TEXT NOT NULL,

-- **哈希存，与 `sources.ingest_token` 的明文相反。**

--

-- 那一条的理由是「DB 失守时文档本体早已泄露，哈希化没有额外收益」，

-- 而它成立是因为 ingest_token 只能**往里推文档**。这一把不一样：它经

-- `query_data` 能读出 Utopia 之外的生产库。数仓在另一台机器上、装着另一批

-- 数据，不该跟着 Utopia 的库一起丢。**爆炸半径不同，所以存法不同。**

token_hash TEXT NOT NULL UNIQUE,

-- 给人认的前缀（`utp_ab12…`）。列表里要能一眼对上配置文件里那一串，

-- 而不必把整条明文留下来

token_prefix TEXT NOT NULL,

-- read = 只读工具；write = 额外放开 remember。**默认只读**：

-- 要让 agent 写进账本，得显式勾

scope TEXT NOT NULL DEFAULT 'read' CHECK (scope IN ('read', 'write')),

-- 限定到哪几个库。NULL = 这个人能进的全部。

-- 裸 UUID 数组不是懒：库删了这一项只是失效，不该把令牌整个删掉

kb_ids UUID[],

-- NULL = 不过期。界面默认给 90 天——不过期是能选的，但不是缺省

expires_at TIMESTAMPTZ,

-- 「这把还在用吗」。撤之前要答得出这个问题，否则没人敢撤

last_used_at TIMESTAMPTZ,

-- **撤销不删行**：撤过这件事本身要留痕。删了行，「这把钥匙存在过」

-- 就查不到了，而那正是事后追查要问的第一件事

revoked_at TIMESTAMPTZ,

created_at TIMESTAMPTZ NOT NULL DEFAULT now()

);

CREATE UNIQUE INDEX personal_tokens_hash_idx ON personal_tokens (token_hash);

CREATE INDEX personal_tokens_user_idx ON personal_tokens (user_id, created_at DESC);