From 55ab9d6df14267713c5a74b18bc287e6ed0cbe52 Mon Sep 17 00:00:00 2001 From: =?UTF-8?q?=E2=80=9CNaeel=E2=80=9D?= Date: Mon, 22 Jun 2026 08:12:23 +0400 Subject: [PATCH] =?UTF-8?q?doc:=20=D0=B6=D1=83=D1=80=D0=BD=D0=B0=D0=BB=20?= =?UTF-8?q?=D0=B8=D1=81=D0=BF=D1=80=D0=B0=D0=B2=D0=BB=D0=B5=D0=BD=D0=B8?= =?UTF-8?q?=D0=B9=20=D0=B1=D0=B5=D0=B7=D0=BE=D0=BF=D0=B0=D1=81=D0=BD=D0=BE?= =?UTF-8?q?=D1=81=D1=82=D0=B8=20Event=20Sourcing?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- History/event-sourcing-security-fixes.md | 32 ++++++++++++++++++++++++ 1 file changed, 32 insertions(+) create mode 100644 History/event-sourcing-security-fixes.md diff --git a/History/event-sourcing-security-fixes.md b/History/event-sourcing-security-fixes.md new file mode 100644 index 0000000..904ccaf --- /dev/null +++ b/History/event-sourcing-security-fixes.md @@ -0,0 +1,32 @@ +# Исправление уязвимостей Event Sourcing — по шагам + +**Дата:** 2026-06-22 +**Источники:** Gemini Web + Sonnet анализ + +## Выполненные шаги + +| Шаг | Версия | Что | Файл | +|-----|--------|-----|------| +| 1 | v1.0.92 | SQL-инъекция — валидация UUID в _lucee_query | convert_server.py | +| 2 | v1.0.93 | Race condition MAX(seq) — добавлен FOR UPDATE | apply_events.cfm | +| fix | v1.0.100 | Убран FOR UPDATE (несовместим с aggregate в PG) | apply_events.cfm | +| 3 | v1.0.94 | full_replace guard — проверка что ops не пуст | apply_events.cfm | +| 4 | v1.0.95 | Идемпотентность — проверка supplement уже обработан | apply_events.cfm | +| 5 | v1.0.97 | LLM ключ из env (не hardcoded) | convert_server.py | +| 6 | v1.0.98 | elements_json double-decode — handle str/list/dict | convert_server.py | +| 7 | v1.0.99 | isNumeric валидация price/qty/sum (ADD + UPDATE) | apply_events.cfm | +| 8 | v1.0.101 | Batch SELECT для UPDATE — один запрос вместо N+1 | apply_events.cfm | + +## Осталось + +| Шаг | Что | Файл | +|-----|-----|------| +| 9 | name_hash fuzzy fallback при UPDATE target not found | apply_events.cfm | +| 10 | Массовый INSERT вместо построчного | apply_events.cfm | +| 11 | UUID тип для last_event_id | apply_events.cfm | + +## Примечания + +- Шаг 2 (FOR UPDATE) отменён — нужен правильный SEQUENCE вместо MAX+FOR UPDATE +- Все изменения в convert_server.py требуют деплоя на ВМ (scp + systemctl restart) +- Все изменения в apply_events.cfm и index.cfm — git push → Lucee managed service