Gravar não é publicar.
Publicar não é confirmar.

BEGIN;
-- Uma transição do negócio atualiza a solicitação e gera evento
-- na mesma transação SQL; rowCount=0 significa estado obsoleto.
WITH changed AS (
  UPDATE purchase_requests
  SET status = 'submitted', version = version + 1
  WHERE tenant_id = $1 AND request_id = $2
    AND version = $3 AND status = 'draft'
  RETURNING tenant_id, request_id, version
)
INSERT INTO outbox_events
  (tenant_id, event_id, request_id, aggregate_version,
   event_type, payload)
SELECT tenant_id, $4::uuid, request_id, version,
       'PurchaseSubmitted', $5::jsonb
FROM changed;
COMMIT;

Exemplo didático resumido. O SQL físico usa identificador de schema aleatório validado e parâmetros do driver; não é uma migração do banco ERP.

WITH candidate AS (
  SELECT tenant_id, event_id
  FROM outbox_events
  WHERE tenant_id = $4 AND attempts < 3
    AND (
      (status = 'pending' AND available_at <= clock_timestamp())
      OR (status = 'leased' AND lease_until <= clock_timestamp())
    )
  ORDER BY created_at, tenant_id, event_id
  FOR UPDATE SKIP LOCKED
  LIMIT 1
)
UPDATE outbox_events AS o
SET status = 'leased', attempts = attempts + 1,
    leased_by = $1, lease_token = $2::uuid,
    lease_until = clock_timestamp() + ($3 * interval '1 second')
FROM candidate AS c
WHERE o.tenant_id = c.tenant_id AND o.event_id = c.event_id
RETURNING o.tenant_id, o.event_id, o.lease_token, o.payload;

A query real retorna também tentativas e token do lease. O teste usa dois clientes: enquanto um mantém lock sobre uma mensagem, outro worker deve reivindicar uma mensagem diferente, sem duplicar a mesma reivindicação.

1. 01
   Claim

   Reserva uma mensagem elegível com token novo, número de tentativa e prazo. A seleção é isolada por organização; não há autorização de worker implementada no laboratório.

2. 02
   Publish

   Envia o mesmo ID de evento como chave de idempotência ao destinatário. A operação externa não pode compartilhar transação PostgreSQL local sem protocolo distribuído próprio.

3. 03
   ACK ou incerteza

   Um ACK confirmado marca sent. Se a conexão de banco falhar depois de publicar, o estado é ack_unknown; o relay não deve inventar confirmação nem disparar retry imediato às cegas.

4. 04
   Lease expirado

   A mensagem pode voltar a ser reivindicada. O teste impede ACK com token antigo, tenant incorreto ou confirmação repetida.

const result = await relayOnce(
  verifiedTenantId,
  workerId,
  postgresOutboxAdapter,
  idempotentPublisher,
);
// "sent" = ACK confirmado no banco local;
// "ack_unknown" = efeito externo pode ter acontecido;
// "retry_scheduled" = publicação falhou e nova tentativa foi agendada.
// Um broker real não foi criado neste capítulo.

A função relayOnce implementa um único ciclo. Ela não inicia daemon, não configura credenciais e não envia mensagens reais; seus ports devem receber adaptadores confiáveis antes de qualquer aplicação operacional.

# Com Docker local, Node e dependências já instaladas:
bash scripts/atlas/postgresql/outbox/run-local-docker.sh

# Com PostgreSQL local explicitamente descartável:
ATLAS_PG_TEST_URL="postgresql://atlas_lab:...@127.0.0.1:5432/fc_atlas_test_local" \
ATLAS_PG_TEST_CONFIRM=I_UNDERSTAND_DISPOSABLE_DATABASE \
pnpm --filter fanpage-frontend test:outbox:postgres

# Sem banco, apenas contratos e unidade TypeScript:
pnpm --filter fanpage-frontend test:outbox:contract
pnpm --filter fanpage-frontend test:outbox:unit

O runner Docker publica uma porta aleatória somente em 127.0.0.1, usa credenciais temporárias e não consulta DATABASE_URL. Sem Docker/pg instalado, o teste real continua NOT_RUN.

Código didático em branch: a presença de SQL, testes e exemplo de relay não comprova execução de banco, broker real, envio ao ERP, exactly-once, homologação visual, merge ou deploy em produção.