v0.3.4-pre.007

docs/validation/021-V0_3_4_STORE_POSTGRES_RAW_ACCOUNT.md

@@ -1,5 +1,5 @@
 <!-- file: docs/validation/021-V0_3_4_STORE_POSTGRES_RAW_ACCOUNT.md -->
-<!-- version: 9 -->
+<!-- version: 10 -->
 
 # Validation `0.3.4` — Store/PostgreSQL `RawAccountState` + complétude RAW
 
@@ -276,8 +276,8 @@ Le test live account devra être opt-in/ignored, URI stdin, sans environnement n
 | pre.003 | contraintes complètes, index, schema compatibility, checksum V002 | PASS    |
 | pre.004 | mapping privé state/observation + get reads + hostile rows        | PASS    |
 | pre.005 | acquisition atomique state+observation + idempotence/conflict     | PASS    |
-| pre.006 | observation supplémentaire + races/cancellation unitaires         | RECHECK |
-| pre.007 | list RawAccountStateQuery + keyset cursor V1 account              | PLANNED |
+| pre.006 | observation supplémentaire + races/cancellation unitaires         | PASS    |
+| pre.007 | list RawAccountStateQuery + keyset cursor V1 account              | RECHECK |
 | pre.008 | 4 impl backend + 4 dispatch Store + conformance 10/10             | PLANNED |
 | pre.009 | preuve PostgreSQL live account + coexistence RawTransaction       | PLANNED |
 | pre.010 | hardening/completeness cross-family + canaries ownership          | PLANNED |
@@ -480,7 +480,7 @@ Reste après `pre.005` : observation supplémentaire/concurrence ciblée (`pre.0
 
 ## 23. Verdict `pre.006`
 
-Observation supplémentaire account : **PASS statique ; gate opérateur complet à rejouer**.
+Observation supplémentaire account : **PASS complet opérateur**.
 
 Surface ajoutée :
 
@@ -501,4 +501,41 @@ L'idempotence et le conflit réutilisent le chemin `persist_account_observation_
 La preuve de race/cancellation de cette tranche est volontairement unitaire/structurelle : les canaris imposent l'ordre `transaction -> FOR KEY SHARE -> persist/compare -> commit`, l'absence de commit anticipé et l'absence de tâche détachée ou de fuite volontaire du handle transactionnel. Une cancellation avant commit droppe donc le `Transaction` local et laisse le rollback à PostgreSQL. Les scénarios de vraies tâches concurrentes et `JoinHandle::abort()` restent au test live `pre.009`.
 
 Restent fermés : `list_raw_account_states`, cursor `KSPA`, `OFFSET`, `UPDATE`/`DELETE`, `ON CONFLICT DO UPDATE`, les quatre implémentations `RawAccount*` sur `PostgresBackend` et tout dispatch account dans `Store`. Les migrations V000/V001/V002 sont inchangées ; le checksum V002 final reste `ff21605ed45f7ab4c0f92bbb692700b4118a9488b04d50a31d259ac59bdb550e`.
+## 24. Verdict `pre.007`
+
+Pagination `RawAccountStateQuery` et cursor `KSPA` : **PASS statique ; gate opérateur complet à rejouer**.
+
+Ordre physique figé :
+
+```text
+ASC  (slot ASC,  pubkey ASC,  state_hash ASC)
+DESC (slot DESC, pubkey DESC, state_hash DESC)
+```
+
+Deux familles de SELECT sont utilisées pour chaque direction : sans filtre pubkey, l'index V002 `(slot, pubkey, state_hash)` porte la navigation ; avec filtre pubkey, la PK `(pubkey, slot, state_hash)` porte le préfixe account puis le même ordre total. Les predicates de continuation utilisent exclusivement les comparaisons tuple `>` / `<`. Aucun `OFFSET`, batch maximum, priorité, clamp ou policy worker n'est introduit.
+
+Le cursor account V1 est fixe à 109 bytes :
+
+```text
+0..4    magic KSPA
+4       version 1
+5..13   last_slot u64 big-endian
+13..45  last_pubkey 32 bytes
+45..77  last_state_hash 32 bytes
+77..109 SHA-256 binding digest
+```
+
+Le digest utilise le domaine `KSP/raw-account-state-cursor/v1` et lie le réseau, le filtre pubkey optionnel, la direction, les bornes de slot et la dernière clé complète. Les canaris couvrent round-trip, taille/magic/version/digest hostiles, replay réseau/pubkey/direction/plage et replay cross-family depuis `KSPT`.
+
+La page conserve la sémantique Store existante : `LIMIT + 1` détecte la continuation, le backend n'impose aucun maximum fonctionnel KSP et expose seulement la borne PostgreSQL `9_223_372_036_854_775_806` nécessaire pour convertir `requested + 1` en `i64`. Les rows de liste revalident pubkey/hash à 32 bytes et `slot` via decimal exact `u64`, sans narrowing.
+
+Surface runtime ajoutée :
+
+```text
+PostgresBackend::list_raw_account_states(
+    &RawAccountStateQuery,
+) -> RawPage<RawAccountStateReference>
+```
+
+Les quatre `impl RawAccount* for PostgresBackend` et tout dispatch account dans `ksp-store-lib::Store` restent absents jusqu'à `pre.008`. Les migrations V000/V001/V002 restent byte-inchangées et le checksum V002 demeure `ff21605ed45f7ab4c0f92bbb692700b4118a9488b04d50a31d259ac59bdb550e`.