v0.1.35: query-mode XML-ответы, TOCTOU receive, валидации AWS, purge 60s, сужение локов

app/gosqs/create_queue.go

@@ -1,6 +1,3 @@
-// Изменено: 2026-04-10 — добавлена Redis persistence
-// CreateQueueV1 — создаёт очередь для тенанта из request context.
-// Ключ в SyncQueues: "{tenantAccessKey}:{queueName}" для изоляции между тенантами.
 package gosqs
 
 import (
@@ -15,6 +12,21 @@ import (
 	log "github.com/sirupsen/logrus"
 )
 
+// CreateQueueV1 — создаёт очередь для тенанта из request context.
+//
+// Логическая схема:
+//  1. Разбор тела запроса (Query/JSON) → CreateQueueRequest.
+//  2. Тенант из контекста (SigV4 → AccessKey).
+//  3. Валидация имени очереди по AWS-правилам: до 80 символов, [a-zA-Z0-9_-],
+//     опциональный суффикс .fifo (ValidateQueueName).
+//  4. Под Lock:
+//     - если очередь уже есть — просто возвращаем её URL (идемпотентность AWS);
+//     - проверка лимита очередей тенанта (MaxQueues) → LimitExceeded;
+//     - создание очереди с дефолтами и применение переданных атрибутов
+//       (setQueueAttributesV1 с валидацией диапазонов);
+//     - вставка в map с tenant-scoped ключом "{tenantAccessKey}:{queueName}".
+//  5. Сохранение очереди в Redis (асинхронно, маршалинг под Lock).
+//  6. Ответ: QueueUrl.
 func CreateQueueV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 	requestBody := models.NewCreateQueueRequest()
 	ok := utils.REQUEST_TRANSFORMER(requestBody, req, false)
@@ -53,7 +65,13 @@ func CreateQueueV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 			EnableDuplicates: models.CurrentEnvironment.EnableDuplicates,
 			Duplicates:       make(map[string]time.Time),
 		}
-		if err := setQueueAttributesV1(queue, requestBody.Attributes); err != nil {
+		// Список имён переданных атрибутов — для whitelist-валидации
+		// (Query-протокол: Attribute.N.Name; JSON: nil — проверка пропускается).
+		var provided map[string]string
+		if req.Header.Get("Content-Type") != "application/x-amz-json-1.0" {
+			provided = utils.ExtractQueueAttributes(req.PostForm)
+		}
+		if err := setQueueAttributesV1(queue, requestBody.Attributes, provided); err != nil {
 			models.SyncQueues.Unlock()
 			return utils.CreateErrorResponseV1(err.Error(), true)
 		}