v0.1.35: query-mode XML-ответы, TOCTOU receive, валидации AWS, purge 60s, сужение локов

app/gosqs/set_queue_attributes.go

@@ -1,6 +1,3 @@
-// Изменено: 2026-04-10 — добавлена Redis persistence
-// SetQueueAttributesV1 — устанавливает атрибуты очереди тенанта.
-// Ловушка #9: при RedrivePolicy парсим ARN DLQ и DLQ тоже должна принадлежать тому же тенанту.
 package gosqs
 
 import (
@@ -15,6 +12,17 @@ import (
 	log "github.com/sirupsen/logrus"
 )
 
+// SetQueueAttributesV1 — устанавливает атрибуты очереди тенанта.
+//
+// Логическая схема:
+//  1. Разбор тела запроса (Query/JSON) → SetQueueAttributesRequest.
+//  2. QueueUrl обязателен → InvalidParameterValue.
+//  3. Тенант из контекста (SigV4 → AccessKey).
+//  4. Имя очереди из QueueUrl (последний сегмент) + tenant-scoped ключ.
+//  5. Под Lock: проверка существования очереди → QueueNotFound;
+//     применение атрибутов с валидацией (setQueueAttributesV1);
+//     сохранение очереди в Redis (асинхронно, маршалинг под Lock).
+//  6. Ответ: пустой SetQueueAttributesResponse (AWS так и отвечает).
 func SetQueueAttributesV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 	requestBody := models.NewSetQueueAttributesRequest()
 	ok := utils.REQUEST_TRANSFORMER(requestBody, req, false)
@@ -44,7 +52,16 @@ func SetQueueAttributesV1(req *http.Request) (int, interfaces.AbstractResponseBo
 		log.Warningf("Set Queue Attributes: %s, queue does not exist for tenant %s", queueName, t.ID)
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
-	if err := setQueueAttributesV1(queue, requestBody.Attributes); err != nil {
+	// Список имён переданных атрибутов — для whitelist-валидации.
+	// Query-протокол: имена видны в form (Attribute.N.Name).
+	// JSON-протокол: структура уже разобрана из тела, список имён недоступен → nil
+	// (whitelist-проверка пропускается, неизвестные поля отброшены парсером).
+	var provided map[string]string
+	if req.Header.Get("Content-Type") != "application/x-amz-json-1.0" {
+		provided = utils.ExtractQueueAttributes(req.PostForm)
+	}
+
+	if err := setQueueAttributesV1(queue, requestBody.Attributes, provided); err != nil {
 		return utils.CreateErrorResponseV1(err.Error(), true)
 	}
 	// Сохраняем атрибуты в Redis пока держим Lock (через defer)