Changelog
Was ist neu?
Jede Verbesserung an der Plattform, wie sie geliefert wird.
· SecurityService
Blei liest und verweigern un-prüfbare Exporte
HIPAA -164.312(b) für SecurityService. Die Plattform zeichnet jede Führung auf CHANGE (LeadHistory) und jedes Login (SystemAccessLog) und erfasst keine LESEN überhaupt, so "wer sah sich diesen Kreditnehmer" - die erste Frage ein . 164,4402 Verletzungsbeurteilung fragt - war unbeantwortbar. PhiAccessAuditor baut Ereignisse aus der OTK/*** Sitzungskarte der endpoint bereits gelöst, so dass die Identität in der Prüfungsreihe ist die gleiche Identität, die den Antrag autorisiert hat. Client IP kommt von X-Forwarded-For; hinter Traefik zeichnet remoteAddr die Einfahrtskapsel auf und ist wertlos für die Erkennung. Dementis werden auch aufgezeichnet - Sondierung ist, was Die Erkennung sucht nach - und ein sitzungsloser Anrufer landet auf einem Wachposten oderg anstatt fallengelassen zu werden. Reads: Single Lead Fetch = VIEW, Grid = ein LIST-Ereignis pro Lead tatsächlich versendet (von den projizierten DTOs aufgenommen, also ein Blei herausgefiltert von VIEW_UNASSIGNED_LEADS erscheint nie als eine, die gelesen wurde). 401/403/404 alle protokollieren ein Demen. Exporte scheitern geschlossen - access-log CSV, HMDA LAR, der QC-Trainingskorpus und die Plattform-weite Extraktion Corpus. Jeder zeichnet ein Ereignis pro record VOR die Datei gebaut ist, und eine fehlgeschlagene Audit schreibt zurückgegeben 503: "Wir haben die Daten verteilt, aber den Datensatz verloren" ist die eine Antwort, die kann nicht zurückgeführt werden. Der plattformbreite Körper kreuzt jeden Mieter, also Jeder Datensatz wird der Org zugeordnet, die ihn besitzt, nicht dem des Betreibers. Nur Bezeichner werden protokolliert, niemals Inhalt. **************** memberId) ist weg: ein Export hat jetzt seine Reihen zu halten, um zu notieren, wer in ihnen war.
· kamo-signer-monorepo
Öffentliches Markenzitat/Schätzdokument bei /{locale'/q/{token
Die kundenseitige Oberfläche für das Commerce-Angebotssystem. Server-rendered so die orgs Branding ist in der ersten Farbe - ein markenloser Blitz auf einem kommerziellen Dokument ist genau das, was dies nicht tun darf, und es ist, warum die Seite emittiert Marke Brauch Eigenschaften inline über QuoteBrandVars anstatt sie nach Hydratation zu tauschen. Lebt in Kamo-Unterzeichner, weil diese App bereits die HostRegexp ingress, autocert Abdeckung, DNS Aliasnamen und das Themenpaket mit hostnameOverride und weil Zitat -' akzeptieren -" e-sign ist dann ein Hop, da EsignGenericEnvelope bindet jede aufnehmen über (context_type, context_id). Wiederverwendung war nur einmal möglich, sobald die /{locale?/ i18n Arbeit gelandet; alle 31 Strings sind Übersetzungsschlüssel aus dem Wörterbuch bezogen. Geld und Termine Format durch Next-intl mit der Zitat-eigene Währung und die Server-aufgelöste Zeitzone (Rezeptmitglied --Org -- UTC), nie das Gerät des Betrachters. Ein Verfallsdatum in der falschen Zone kann ein Datum nennen, an dem das Angebot bereits besteht tot. Fügt den ersten echten @media-Druckblock der Plattform hinzu. "Print Invoice" in kamo-internal hat immer die ganze App Chrom gedruckt, weil keine @media Print-Regel existierte druckt hier ein sachliches Letter-Dokument mit der Marke Akzent erhalten (Print-Farb-justiert: genau - ein farbloses Zitat liest sich wie ein Entwurf), die Aktionsleiste unterdrückt, und Seite-break-inside: auf Zeilen und Summen zu vermeiden. Terminal-Zustände sind bewusst asymmetrisch: EXPIRED bekommt eine ehrliche Markenseite Benennung des Datums und der Kontaktdaten der Org, sicher, weil der Anrufer bereits bewiesener Besitz eines 256-Bit-Tokens; unbekannt/revoked/wrong-org alle fallen auf ein generische Seite, so dass die Oberfläche nicht untersucht werden kann. Der Kunde Whitelists der Grund vor dem Rendering. Das Token reist nie weiter in einer URL - die Server-Seite löst es in einem body, und der BFF leitet die reale Client-IP explizit, weil APIService Stempel X-Forwarded-For von seiner eigenen eingehenden Anfrage, die sonst jeden setzen würde Viewer in einer Rate-Limit-Eimer auf die Pod-IP. Fügt SECURITYSERVICE_URL zur Konfiguration hinzu (verifiziert: kamowssecurity-service existiert im Kamo-Namensraum).
· SecurityService
Quote REST Oberfläche - Personalmanagement und Public Share Links
Personalendpunkte bei /api/security/commerce/quotes und einem nicht authentifizierten Lösungsmittel bei /api/security/public/quotes. QuoteController erweitert BaseLosController statt Kopieren von POSController Präambel: CallerSessionResolver akzeptiert das X-OTK-Attribut X-***-Token Header UND das *** Cookie, wo POSControllers privates getOrgId nur die OTK-Attribut. Jeder Handler ist mit Rechten versehen (VIEW/MANAGE/SEND_QUOTES). Die meisten der Commerce Oberfläche ist Session-only - jedes authentifizierte Mitglied eines org kann mutieren Befehle - und das wird hier absichtlich nicht wiederholt, weil ein Zitat die org zu einem Preis vor einem Kunden. QuotePublicController braucht keine Security-Konfiguration-Ausgliederung: Die Spring-Kette ist anyRequest().permitAll() und OTKPreAuthFilter wirkt nur auf einen X-OTK Header, der ein Browser, der einem per E-Mail gesendeten Link folgt, sendet niemals. Designpunkte: - Der Token kommt im POST-Körper an, niemals eine URL. APIApp.forward() protokolliert Anfrage Linien und ein Trägerausweis in einem Pfad würden in diesen Baumstämmen landen. - Kein Aufzählungs-Orakel: unbekannt, widerrufene und org-missmated Tokens zurück ein ununterscheidbares allgemeines Versagen. Nur EXPIRED bekommt eine spezifische, ehrliche Antwort, die sicher ist, weil der Anrufer bereits bewiesen Besitz eines 256-Bit-Token. - Die von der Anfrage abgeleitete Org wird gegen die Org auf der Link Zeile. Ohne sie würde ein gültiger Link für Org A unter Org B's Host geöffnet Machen Sie A's Preisgestaltung tragen B's Branding - ein Phishing Primitive. - no-store / Referrer-Policy: no-resterrer / X-Robots-Tag: noindex auf jedem Reaktion. Die Seite lädt Logos aus Thema.<org", und ein Refer würde die tragen Token off-Herkunft. PublicLinkRateLimiter ist Redis-unterstützt, weil SecurityService multi-replica ist In-Prozess-Zertrale wären nur dem Namen ein Limiter. Es ist explizit DoS und Log-Hygiene-Schutz, NICHT die Anti-Gutachten-Kontrolle: 256 Bit Entropie ist. Versäumnisse werden viel härter gezählt als Erfolge, da ein Büro ein weitergeleitet Zitat fünfzig Mal ist normal, während fünfzig Fehlschüsse nicht. Es scheitert offen, so ein Redis-Ausfall kann die Zitatseite nicht abnehmen. QuoteEmailClient verwendet den transaktionalen Pfad von EmailService (X-Internal-Auth, QUOTE_SENT Vorlage) und sendet nur die Headzeile-Figur plus den Link - nie die Einzelpreisgestaltung, so dass eine weitergeleitete E-Mail nicht selbst die Offenlegung ist. Vorbestehende Testfehler unverändert durch diese Verpflichtung (verifiziert durch die Einstellung dieser Arbeit und Re-Running auf sauberem HEAD): **************** NPE auf Null EntityManager, und die legacy com.retval SecurityServiceApplicationTests fehlt ein @SpringBootKonfiguration. REQUIRES a KamoInitializerService ausgeführt, bevor diese Endpunkte funktionieren: die Angebotstabellen sind neu und ddl-auto ist keine hier, so dass der Service bootet in der Regel und nur das Angebot endpoints 500 auf eine fehlende Beziehung, bis KI gelaufen ist.
· kamo-shared-library
Quote/estimate Domain - Einheiten, Preis-Engine, Share-Links
Fügt neben dem bestehenden Commerce-Rücken ein erstklassiges Quote hinzu. Die Vorhandenen "ServiceQuote" ist eine Absicht plus ein JSON Blob mit einem Angebot und einer Wohnung Betrag, ohne Empfänger, ohne Ablauf und ohne Benutzeroberfläche; es ist keine Grundlage. Ausweitung Auch die Absicht wurde direkt abgelehnt: commerce_intents wird von LOAN_APPLICATION, RENTAL_REQUEST, SUBSCRIPTION_SIGNUP und PURCHASE_REQUEST, also -25 Zitat Spalten würde dauerhafte NULLs auf die Hypothek und Mietwege setzen. Entitäten **************** Quote Engagement-linked, versioned, valid_until + valid_for_days QuoteLineItem Schnappschüsse Name/sku/Preis so ein gesendetes Angebot nie wieder Preis QuoteShareLink Inhaber Anmeldeinformationen, SHA-256 in Ruhe, widerrufen/expiry/Ansicht zählt QuoteLinkView pro geöffnetes Audit (ip, User-Agent) QuoteEvent Append-only Lebenszyklus-Trail Totals sind server-autorativ. QuoteTotals ist der einzige Autor jedes Geldes Feld und die Anfrage DTOs tragen keine Summen überhaupt - absichtlich unähnlich createRetailOrder, die subtotal/tax/total wörtlich nimmt und eine Bevölkerte Ordnung mit insgesamt = 0. Linienrabatte gelten vor dem Angebots-Niveau Rabatt, Rabatte können nie überschreiten ihre Basis, Zwischenmathematik bleibt bei Skala 4 und nur die Gesamtrunden zur kleinen Einheit der Währung. Teilen Token: 32 Bytes SecureRandom als 43 base64url Zeichen (256 Bits). Gleiche Entropie als E-Zeichen Signer Token aber 21 Zeichen kürzer, halten die per E-Mail gesendete URL unter der 76-char-Sowjet-Wüllung. Nur der SHA-256 ist beharrlich. Steuer ist ehrlich und nicht erfunden: Die Plattform hat keine Steuer-Engine (TaxClass / TaxZone/TaxRate sind autorierbar und ohne Berechnung gelesen), also ENGINE-Modus berichtet NOT_CONFIGURED, anstatt eine Figur auf einem kommerziellen Dokument zu fabrizieren. QuoteLineItem.taxClassId ist UUID, passend zu TaxClass's realer PK . Offering.taxClassId ist ein Long gegen einen UUID-Schlüsseltisch und strukturell unauflösbar. Außerdem: Rechte 178-180 (VIEW/MANAGE/SEND_QUOTES) und die QUOTE_SENT kanonische E-Mail Template, registriert in CANONICAL_KEYS (abwesend dort bedeutet eine dauerhafte 404). 35 Tests für die Preismaschine und Token-Hygiene. Volle Suite: 896 vorbei. Schema-Notiz: Das sind neue Tabellen. KamoInitializerService muss vor laufen SecurityService bedient die Zitat-Endpunkte - ddl-auto ist keine da, also Service bootet fein und die Endpunkte 500 auf eine fehlende Beziehung, bis es tut.
· KlusterServices
Egress Containment für den Avatar-Entschlossenheiter, als CiliumNetworkPolicy
Wiedereingesetzt, was 8f6c672 zurückgegeben hat, in der einzigen Form, die hier tatsächlich funktioniert. Der frühere Versuch scheiterte, weil eine einfache NetworkPolicy dies nicht ausdrücken kann Cluster-Topologie. Drei der vier kritischen Abhängigkeiten von SecurityService leben von der Knoten, nicht im Pod-Netzwerk - cockroachdb-0 und nats-k1m1-0 run hostNetwork, und MinIO ist ein Host-Prozess - so kann ein podSelector nie mit ihnen. Die nicht offensichtlich Teil, und der Grund, warum der erste Patch-Versuch auch gescheitert ist, ist, dass ein ipBlock für den Knoten subnet behebt es auch nicht: Cilium stuft den Knoten als die reservierte Host/Remote-Kennzeichen und CIDR-Regeln absichtlich nicht übereinstimmen reservierte Identitäten. toEntities ist das einzige Konstrukt, das es ausdrückt. Beide Ausfallmodi wurden vor dem Schreiben gegen eine wegwerfende Canary-Pod reproduziert dies, anstatt gegen die Produktion. Der Canary trug die gleiche Regel unter ein eindeutiges Etikett, so wurde die ipBlock-Version still blockiert CockroachDB, NATS und MinIO, während sie vollkommen vernünftig aussehen. Verifiziert auf dem Canary, dann bestätigt auf SecurityService ohne Neustarts und keine Verbindungsfehler: ALLOW dns, crdb:26257, nats:4222, minio:9000, redis:6379, Geschwister:80, world:443 BLOCK node:22, node:443, kube-api:443, redis-via-node:6379, 169.254.169.254, loopback:9000 Die letzten vier sind der Punkt: ein SSRF im Entwickler hat jetzt nirgendwo zu gehen. Die in-Code-Wächter bleibt die primäre Kontrolle - es ist die einzige Ebene, die versteht DNS-Rebinding - und das ist Verteidigung dahinter. Header trägt die kanonische Prozedur. Wer das ändert, sollte es eher nachrufen als Vernunft darüber; Ciliums Identitätsmodell verhält sich nicht so schlicht wie NetworkPolicy Intuition schlägt vor, und es gibt keine Inszenierung Umgebung.
· kamo-internal
Zeigen Sie einen Facepile für Gruppengespräche
Ein Faden mit fünf Personen darauf wurde von einem willkürlichen Gesicht dargestellt, das liest sich als eine Nachricht von einer Person. Bis zu drei Teilnehmer überlappen jetzt, so "Merde Menschen" ist auf einen Blick lesbar, ohne die Namenszeile zu parsen. Auf drei gekappt: vorbei, dass die Kreise unter Erkennbarkeit und der Reihe schrumpfen wird Textur statt Information, und der Rest ist bereits in der "und N andere" Text direkt daneben. Der Leser wird aus der eigenen Thread-Liste herausgefiltert, und die andere Partei führt Gesichter lesen von links nach rechts, also muss der primäre Korrespondent der am meisten links sein und der, der die ungelesene Plakette trägt. Jedes Gesicht bekommt einen Ring in der Reihe Hintergrundfarbe; ohne sie verschmilzt ein Stapel ähnlicher Fotos zu einer Form. Die Resolution umfasst nun die ersten Teilnehmer und nicht nur die Hauptvorsprung, sonst würden die zweiten und dritten Gesichter als Monogramme dauerhaft sitzen.
· SecurityService
Instrument der Kette, ernten abgelaufene Einträge, Aufzeichnungen
Jeder Fehlermodus in dieser Funktion ist still. Ein verriegelter Leistungsschalter, ein Arbeiter Warteschlange jede Aufgabe verwirft, ein Anbieter, der HTML zurückgibt - jeder sieht aus genau wie "dieser Korrespondent hat kein Foto", was auch richtig ist Verhalten sieht aus wie. Es gibt keinen benutzerüberschaubaren Unterschied zwischen Arbeit und völlig tot, also muss es gemessen werden. Metriken (Prometheus war bereits verdrahtet, so ist dies meist Namensgebung): Cache-Hit Verhältnis, Kettendauer getaggt durch die geantwortete Ebene, pro Anbieter hit/miss, Arbeiter Warteschlange Tiefe, und eine ausrangierte Aufgabe insgesamt. Das letzte, das vorher verwendet wurde DisardPolicy, die lautlos fallen fällt; es jetzt inkrementiert eine Zähler, und der Zähler wird vor dem Vollstrecker deklariert, weil Feld-Enorne in Quellordnung und sich auf faule Gefangennahme zu verlassen, würde eine harmlose Neuordnung brechen. Enthüllungen gehen an ihren eigenen Logger. Nur die Identitätsstufe ist eine persönliche Offenlegung - die Domain-Tier übertragen die rechte Seite einer Adresse, die identifiziert niemanden - und es wird vor dem Anruf aufgezeichnet, anstatt nach, so dass die Trail existiert auch, wenn die Anfrage dann fehlschlägt. Die Adresse ist in voller Länge und absichtlich: Es geht darum, zu antworten, "mit wem die Daten dieser Person geteilt wurden", und ein "Hache" kann das nicht beantworten. Der Schnitter schließt ein Leck: deleteExpiredBefor existierte und nichts nannte es, so sender_identity wuchs für immer. Eine vielbeschäftigte Mailbox berührt Tausende von Korrespondenten einmal jeder und hinterlässt eine negative Reihe für jeden. Tests decken den Abholer gegen eine echte Steckdose ab, denn die interessanten Fälle sind alle Provider-Verhalten statt Logik: ein 404 mit einem gültigen Bild (DuckDuckGo), ein Soft-404 mit HTML, ein originelles Understateating Content-Length, ein 1x1 Stub, und eine Umleitung in das Pod-Netzwerk ausgerichtet. Der Produktionsclient kann nicht auf einen Loopback-Testserver gerichtet werden - sein DNS-Pin weigert sich, etwas zu lösen privat, das ist der ganze Punkt - so dass diejenigen laufen gegen einen entspannten Kunden und die pin wird separat behauptet.
· kamo-internal
Fördern Sie eine aufgenommene LLPA-Matrix in Anpassungen von der Konsole
Das Einnahmepanel konnte nur ein Zinsblatt veröffentlichen. Für eine LLPA_MATRIX Quelle Dokument es zeigt jetzt eine "Promote als LLPA Anpassungen" Karte: wählen Sie die bestehenden Rate-Blatt-Version der LLPAs anpassen (+ eine optionale Gruppe), und jede genehmigt FICO/LTV Eimer wird eine bedingte Preisanpassung. Das Ergebnis benennt, wie viele wurden verfasst und, ehrlich gesagt, wie viele Reihen wurden übersprungen, weil ein Eimer konnte nicht sicher gelesen werden oder war bereits vorhanden. ingestionApi.promoteAdjustments Beiträge zum neuen Gateway-Relay.
· SecurityService
Gateway-Relay zur Förderung einer LLPA-Matrix in bedingte Anpassungen
************ Gewinnsteigerungen, Spiegelung der promote-rate-sheet-Relais: Gott-taugliches Tor, OrganisationId Server-stempeln auf die Nutzlast über write(), nachgeschaltete 4xx übermittelte wörtlich. Lasst einen Steward einschalten überprüft LLPA Matrix in reale pro-Szenario Preisanpassungen von der Konsole.
· VOIPService
Anrufaufzeichnung, Voicemail und Transkript-Zugriff aufnehmen
Die Wiedergabe hinterließ keine Spuren. Ein aufgezeichneter Anruf ist das dichteste PHI der Plattform speichert - die unredacted Gespräch - und "wer hörte diese Anruf" war unbeantwortbar, das ist die erste Frage eine 164.022 Verletzung Bewertung fragt. Wire CallRecordingAuditor in jede gelesen, die es offenbart: - GET /recordings/{id]/audio CALL_RECORDING / DOWNLOAD - GET ************ CALL_RECORDING / DOWNLOAD - GET /recordings/{id] CALL_RECORDING + TRANSCRIPT / VIEW - GET ************ CALL_RECORDING / DOWNLOAD - GET /instanzen/{id'/Voicemails TRANSCRIPT / LIST, pro Zeile Das Transkript ist das, das sich verbirgt. Es ist kein Medien-Download; es fährt innerhalb der Metadaten JSON und in jeder Voicemail-Reihe, und es ist das gleiche PHI als der Ton in einer Form, die greps. Es bekommt seine eigene Veranstaltung, weil ein Die Abrechnung von Offenlegungen wird pro Ressource zusammengesetzt. Byte-Portion fällt geschlossen aus, so dass PhiAuditAvailabilityAdvice ein unloggables in einem 503 statt einer 500 lesen - die Anfrage war in Ordnung, wir dediziert zu PHI servieren wir nicht für. Auch Verweigerungen werden aufgezeichnet; Sondierung ist was für die Erkennung ankommt. Schließt auch eine Autorisierungslücke, die bei der Verkabelung gefunden wurde: POST /recordings/lookup nahm eine InstanzId vom Antragskörper und nie geprüft, die org des Anrufers besitzt es, so dass es einen anderen Mieter Anbieter gelöst rufen Sie ids zu ihren Aufnahme-IDs auf. Jeder andere Instanz-kopierte Endpunkt in der Service geht bereits durch findByIdAndOrgId; dieser jetzt auch. Die Wiedergabe-Berechtigung wird so gelassen wie-ist und dokumentiert: org Eigentum ist die einzige Überprüfung, so dass jedes Mitglied kann jede Aufnahme in ihre Org. Verengung bedeutet es zu entscheiden, ob "eigene Erweiterung" ist die Grenze und welches Recht hebt es - das ist eine Produktentscheidung, nicht ein Vermuten, hier zu machen, und jeder Zugriff ist mindestens jetzt aufgezeichnet.
· AIService
PHI-Zugriff auf jede Lektüre der gespeicherten KI-Gesprächsgeschichte aufsen
Wires die gemeinsame -164.312(b) Wirbelsäule in die Pfade, die gehaltene Aufforderungen lesen und Fertigstellungen. Der Assistent ist das Modul, das die Compliance-Bewertung gestellt hat OUTSIDE die Grenze - fordert Fan-Aus zu externen Anbietern unter keinen BAA und werden dann auf unbestimmte Zeit gehalten - so liest von diesem Speicher sind die Enthüllungen in den meisten brauchen eine Spur, und sie hatten keine. Geprüft: die Sitzungsliste und Historiensuche (eine Veranstaltung pro Gespräch, nicht eine pro Anfrage), die Metadaten eines einzelnen Gesprächs und seine Botschaften, die Öffentlichkeit Widget Lesen der eigenen Transkript zurück, und die Handoff-Bundle. Ablehnungen sind auch aufgenommen - Sondierung eines anderen Orgs guids ist, was Detektion sucht - und ein nicht authentifizierter Versuch wird dem sentinel org zugeschrieben, anstatt fallengelassen zu werden, da der Rekorder zurückweist, was er nicht zuschreiben kann und das ist das Ereignis am meisten Wert der Aufbewahrung. Das Handoff-Bundle ist ein DISCLOSE, kein VIEW: es trägt einen Besucher Konversation aus AIService und vor einem Menschen in einem anderen Produkt. Das Art scheitert geschlossen, so dass eine verlorene Aufzeichnung jetzt hält die Abschrift und antwortet 503 anstatt Daten zu bedienen, kann sie nicht berücksichtigen. Nur Identifier. Nie ein Nachrichtenkörper, ein Titel oder der Suchbegriff - ein Mitglied Suche ihrer Assistenten Geschichte Typen des Kreditnehmers in sie, und eine Audit-Trail, der die Prompt reproduziert hätte gerade die PHI in die Log-Stream. Komplette d428ee3, die eine gleichzeitige Sitzung fegte Mitte der Umschichtung: der Auditor fehlte recordDeniedInternalView und PublicAiChatControllers neues Konstruktorar-Argument hatte seine Prüfung nicht erreicht.
· MediaService
Aufzeichnung Chat-Nachricht liest auf den Endpunkten, die Körper zurückbringen
Das Versenden einer Nachricht hinterließ eine Reihe; eine zu lesen ließ nichts übrig. Jeder Chat, Support und Sozialfaden auf der Plattform macht von einer Handvoll Endpoints hier, und keiner von ihnen aufgezeichnet alles, so "wer dieses Gespräch gelesen" hatte keine Antwort - die ist die erste Frage, die eine 164.042 Verletzungsbeurteilung stellt. ChatMessageAccessAuditor sendet ein PhiAccessEvent (CHAT_MESSAGE) aus den fünf Pfade, die einen Anrufer-Nachrichten-Text übergeben: GET ************ GET /api/media/sessions/chat LIST POST ************ VIEW GET ************ POST ************ VIEW Ein Ereignis pro Nachricht, nicht eine pro Anfrage. "Sie haben den Faden geöffnet" ist kein Antwort auf "war die Nachricht dieses Individuums offenbart", und die Nachrichten-IDs sind bereits in der Hand bei jeder Anrufstelle, so dass eine Anfrage-förmige Zeile wäre ein Wahl statt einer Einschränkung. Der Thread lesen Aufzeichnungen NACH dem stummen Filter, so eine Reihe bedeutet, dass ein Körper, dass Anrufer tatsächlich übergeben wurde. Die Chat-Liste ist im Umfang, weil jede Zeile trägt bis zu 140 Zeichen der Die letzte Botschaft des Threads - das ist Inhalt, nicht Metadaten. Reihen mit einer leeren Vorschau nichts aufnehmen. Bewusst NICHT aufgezeichnet: ungelesene Zählungen, Präsenz, Lasten, Tippen, Lesen Quittungen, Sitzungs-Mitgliederlisten, Mutes, Ticketdetails (Metadaten plus Status Geschichte, keine Gremien) und unterstützen die Berichterstattung Aggregate. Ein Weg ist nur nützlich, wenn ein Reihe bedeutet, dass jemand Inhalt sah; Reihen, die für nichts stehen begraben diejenigen, die tun. Verweigerungen werden auch aufgezeichnet, gegen den Thread guid - noch keine Nachrichten-ID existiert bei der Punkt der Verweigerung, und wiederholte Verweigerungen gegen Faden guids ist die Form Sondierung hat. Ein nicht authentifizierter Leser wird eher einem Wachtel org zugeordnet als fallengelassen: der Rekorder weist unauffällige Ereignisse zurück, und das ist die am meisten interessante Veranstaltung dieser Weg kann halten. Client IP kommt von X-Forwarded-For mit remoteAddr als Fallback kommt über Traefik, so dass RemoteAddr allein die Eindringenkapsel aufzeichnet. Öffentlicher Chat nimmt einen zweiten Sprung durch APIService, der X-Forwarded-For zum Besucher setzt Adresse und bewegt den Benutzer-Agent des Browsers auf X-Original-User-Agent, also die Auditor bevorzugt diese Header; der wörtliche User-Agent auf diesem Hop ist APIService eigene HTTP-Clients und identifiziert niemanden. Besucherlesungen werden der Org zugeordnet von X-Public-Chat-Org-Id ohne Mitglieder-ID: Ein Besucher hat keine Mitgliedsidentität ihre eigenen, aber die Org besitzt die Aufzeichnungen, so dass die gelesen bleibt zuzurechnen. Nur Identifier, nie Nachricht Text. Ein Audit Trail, der die Botschaft reproduziert es Audits hat gerade das PHI in den Logstream kopiert. Auch komplettiert eed3817, die diese Arbeit in Mid-edit gefegt und links MediaController Verweis auf PhiAccessKind, bevor der Import existierte, dass die Revision nicht kompilieren. Dieser tut: mvn -o Test ist 16/16 grün.
· DocsService
Protokoll von zahlbarem Zugriff auf die vier Dokumentenpfade, die nichts aufgezeichnet
/download bereits angemeldet durch ************ und es war die Plattform ist nur kabel-Zugang Injektionsstelle. Die Geschwister-Endpunkte dienen der exakt gleiche Bytes - /stream, /bulk-download, die Vorlage konvertiert-PDF und die Vorlage Seite Thumbnail - nichts aufgezeichnet, so dass jemand wollen Dokument Bytes ohne Spurenspuren zu hinterlassen, musste nur eine andere URL auswählen. Alle vier senden nun ein PhiAccessEvent am Point-Zugriff wurde verifiziert und Bytes sind dem Aufgepasst. Bulk Download emittiert eine Veranstaltung pro Dokument statt einer pro Anfrage. "They exportierte 400 Dokumente" ist keine Antwort auf "war diese Person Rekord Offengelegt", und pro-Dokument Reihe sind, was machen, dass verantwortlich sechs Jahre später unter 164.528. Client IP kommt von X-Forwarded-For mit remoteAddr als Fallback: jede Anfrage kommt durch Traefik, so RemoteAddr allein würde die Einweg-Pod für jeden Zugriff und für die Erkennung wertlos sein. Ein nicht authentifizierter Versuch wird eher einer Wachpostenorganisation zugeschrieben als fallen . der Rekorder weist unauflagebare Ereignisse zurück, und eine Anfrage für Dokument Bytes ohne Sitzung ist genau die Veranstaltung wert zu halten. Diese liegt neben den bestehenden ImgLogDownload-Reihen, anstatt sie zu ersetzen: das sind bildgebende-Domain-Aufzeichnungen, das ist die oberflächenübergreifende Spur eine Abrechnung von Offenlegungen werden aus zusammengestellt. Hinweis ImgLogService, der diese Zeilen liest, noch hat null Anrufer überall auf der Plattform.
· KlusterServices
Enthalten Sie den Austritt vom Avatar-Entschlossenheiter; beachten Sie das Redis Räumungspool
SecurityService betreibt jetzt einen Abrufer, dessen Ziel-URL von einem nicht vertrauenswürdigen gewählt wird Partei - ein BIMI-Rekord ist DNS-Inhalte, der von demjenigen veröffentlicht wird, der eine sendende Domain besitzt, und jeder wird eine sendende Domain durch E-Mail an einen Mieter. Nichts in diesem Cluster eingeschränkt, wo eine solche Anfrage gehen könnte: Redis antwortet nicht authentifiziert auf 6379, MinIO auf 9000 mit Root-Bescheinigungen, CockroachDB auf 26257 und den Knoten-Metadaten endpoint ist von jedem Pod aus erreichbar. Der Reeder erzwingt seine eigenen Kontrollen im Code, und diese bleiben die primäre Verteidigung, weil sie die einzige Schicht sind, die DNS-Rebinding versteht. Das ist die zweite, so dass ein Fehler dort immer noch nicht eine private Adresse erreichen kann. Bewusst erlauben-die meisten anstatt erlauben-Liste. Diese Dienste erreichen rechtmäßig Gastgeber, so Aufzählung Ziele wäre unerhaltbar und würde brechen ruhig. Stattdessen erlaubt es das öffentliche Internet mit jeder privaten Reichweite ausgenommen, dann erlaubt die spezifischen In-Cluster-Ports, die tatsächlich benötigt werden. Gedrund zu den Schoten die unzuverlässige Abstände durchführen - die Anwendung von namen-space-wide würde abgeschnitten Dienstleistungen, deren Egress nie geprüft wurde. Die Redis-Änderung ist ein Kommentar und eine Datenbankenstoß, keine Verhaltensänderung. Es notiert auf, warum der sender-avatar Cache nur kurze Metadaten-Strings speichert: maxmemory 2gb mit allkeys-lru vertreibt über die gesamte Instanz, und DB 0 hält jeden Live-Raum Sitzung, so dass eine Masse äde Cache hier würde Benutzer nach dem Zufallsprinzip unter Druck abzeichnen und tagelang falsch diagnostiziert werden.
· kamo-internal
Sender- und Empfängerfotos anzeigen
Die Mailbox machte einen einzigen Buchstaben auf einem einzigen gemeinsamen Gradienten für jedermann, so Jede Reihe sah gleich aus und der Kreis trug keine Informationen. Es zeigt jetzt die Korrespondent tatsächliches Foto, wenn man bekannt ist, und ein Zwei-Buchstaben-Monogramm, wenn es ist es nicht. Ein SenderAvatar ersetzt sieben handgerollte Initialenkreise. Das war wichtig für mehr als Konsistenz: Jeder trug seine eigene Idee, wie man eine Adresse zu teilen, und der Avatar-Cache wird auf dieser Aufteilung eingegeben, so dass jede Meinungsverschiedenheit zwischen der Liste und die Leseform würde stillschweigend die Trefferquote halbieren und der gleichen Person zwei zeigen verschiedene Wege auf einem Bildschirm. parseAddress ist jetzt der einzige Ort ein RFC 5322 Adresse wird auseinander genommen. Die Liste und die Fadenansichten hören auch auf, Rohkopfzeilen zu drucken wie "Jane Doe <jane@acme.com" und den Namen anzeigen. Identität lebt in seinem eigenen Speicher, der von Adressen eingeblendet wird, nie auf den Botschaftsobjekten. Beide Listenansichten Umfrage alle 30er Jahre und auf jeder Websocket-Benachrichtigung, jedes Mal Ersetzen ihrer Message Array Großhandel - alles, was auf eine Nachricht zusammengeführt würde zweimal pro Minute abgewischt, so dass ein Leerlauf Posteingang würde Foto zu Monogramm und zurück flimmern für immer. Die Adressierung bedeutet auch, dass eine spät einkommende Antwort nicht aufs Abstrichen kommt die falsche Zeile, weil Zeilen nicht das sind, wovon sie eingeblendet wird. Anfragen werden zusammengelegt in eine Charge pro Bildschirm: fünfzig Reihen, die unabhängig fragen, wären fünfzig Anfragen, und da jeder Anruf zu diesem Service prägt einen einmaligen Schlüssel zuerst, eigentlich hundert. Ein Miss wird einmal nach 45s erneut nach 45er Jahren gefragt, weil serverseitig Die Auflösung ist zweistufig und eine unbekannte Adresse wird nur bei einem späteren Anruf beantwortet. ConversationListView ist nun virtualisiert. Es holt 50 Reihen pro Seite und re-rendered alle von ihnen innerhalb einer AnimatePräsenz mit einer pro-Index-Stauner auf jeder Umfrage; Das Hinzufügen eines Bildes zu jedem machte es die schwerste Oberfläche in der Mailbox. No-reply und Mailer-Daemon Absender erhalten eine neutrale Note statt eines Monogramms Gesicht neben einem Sprungbehinderung ist aktiv irreführend. Fotos sind dekorativ (alt="") weil der Name immer sichtbar Text neben ihnen ist, und tragen referrerpolicy="no-Referrer", so dass eine Thread-Kennung nie einen Bildhost erreicht. Jeder Avatar wird von unserem eigenen Ursprung aus bedient. Bilder von Drittanbietern werden geholt, validierte und wieder gehostete Server-Seite - das ist es, was die neue pro-Anfrage ermöglicht img-src Politik bleiben auf die eigenen Domänen des Mieters geheftet. Diese Politik ist eingebaut der Proxy anstatt next.config weil diese Plattform weiß gekennzeichnet ist: a Die statische Politik müsste einen Mieter benennen und würde für den Rest Bilder brechen. Es schließt auch einen bereits bestehenden gespeicherten Tracking-Pixel-Vektor, da Contact.photoUrl ist eine Freitext-URL, die direkt in mehreren <img src" gerendert wird. next/image akzeptiert keine SVG-Fernbedienung mehr. Das war ein akzeptables Risiko, wenn die einzige SVGs waren unsere eigenen Themenlogos; es ist nicht jetzt, dass die Plattform nimmt Marken veröffentlicht in Drittanbieter-DNS. Kontakt Anrufer lassen die festcodierte ORG_ID = 1 und den orgId Abfrageparameter fallen, Das Abgleich des Backend-Wechsels, der die Miete aus der Sitzung bezieht.
· EmailService
Avatar-Endpunkte; unuthentierte Erreichbarkeit und Kontaktmiete beheben
Fügt die Mailbox-Seite von Absender-Avataren hinzu und behebt drei bereits existierende Löcher diese Die Arbeit hätte sonst auf der Oberseite gebaut. AUTHENTICATION. OTKPreAuthFilter zur Ablehnung eines *schlechten* OTK, aber *no* OTK als anonym-erlaubt, direkt durch die Filterkette fallend - und Spring Security Chain hier ist anyRequest().permitAll().permitAll(). Jede Mailbox, Kontakt und Kalender Endpunkt war daher lesbar durch alles, was erreichen konnte ClusterIP. Geschützte Präfixe versagen nun geschlossen. Die Lösung lebt im Filter eher als in der Sicherheitskette absichtlich: Umgestaltung der Kette würde dreißig berühren Unverwandte Oberflächen auf einmal, darunter zweiServlets und die DAV-Endpunkte. Die Freistellungsliste ist der komplette Satz von wirklich sitzungslosen Einstiegspunkten CAN-SPAM Opt-out-Link, das OAuth-Redirect-Ziel, wo der Mieter in der signierter Zustandparameter und die Server-zu-Server-Flächen, die sich mit X-Internal-Auth. KONTAKT TENANCY. Jeder Kontaktendpunkt nahm orgId als Abfrageparameter, oder erreichte ein Buch durch ID ohne Eigentumsprüfung überhaupt, so ändern Sie eine Zahl in der URL lesen die Kontakte eines anderen Mieters - Namen, Adressen, Telefonnummern, Notizen. Die org kommt jetzt aus der Sitzung und jede Buch- oder Gruppenoperation beweist das Ziel gehört dazu. Absent Ziele Rückkehr 404 statt 403 so eine ID in ein weiterer Mieter ist nicht bestätigt zu existieren. orgId ist immer noch auf der Liste akzeptiert endpoints und ignoriert, so dass Kunden nicht Mitte-Deploy zu brechen. Diese Änderung behebt auch einen stillen Fehler: searchContacts abgeleitet orgId aus bookId und null übergeben, wenn kein Buch ausgewählt wurde, in eine Anfrage, deren erstes Prädikat ist contactBook.organization.id = :orgId. Buchlose Suche ist also immer zurückgegeben nichts, was genau so ist, wie der Mail-Empfänger Autocomplete es nennt. EMAILLOGOSERVICE. Es holte eine vom Betreiber gelieferte URL ohne Schema oder Adresse prüfen und das Ergebnis auf einer Batik transcodiert haben, die externe Referenzen auflöst durch Standard. Ein Logo SVG mit <Bild **************** würde wurden aus dem Inneren des Clusters entfernt. Nun bewacht an beiden Enden. MESSAGEINDEXER. resolveMemberIdFromEmail zog die gesamte Mitgliedertabelle in Haufen und gefiltert es in Java, einmal pro indizierte Nachricht, auf einem 1Gi-Pod - der Code Sagen Sie das in einem TODO. Gleiche Semantik, eine indizierte Abfrage. Die Avataroberfläche ist ein gestapelter Endpunkt und nicht ein Feld auf der Nachricht DTOs. Beide Listenansichten Umfrage alle 30er Jahre und ersetzen ihre Nachrichten-Array Großhandel, so ein Avatar auf einer Nachricht durchgeführt würde zweimal pro Minute abgewischt werden und die Benutzeroberfläche würde flimmer für immer; und EmailMessage wird von der Ordnerliste geteilt, Lesescheibe, Faden-Ansicht und Suche, so ändern seine Form würde alle von ihnen auf einmal berühren. Der Verzeichnis-Foto-Endpunkt ist nur Server-zu-Server - einem Browser ausgesetzt wäre ein Verzeichnis-Aufzählungs-Oracle für den Mieter.
· SecurityService
Sender-Aavatar Auflösungskette für den Briefkasten
Löst die E-Mail-Adresse eines Korrespondenten auf ein Bild, arbeitet nach außen von was Kamo weiß schon: Mitgliedsfoto, dann ein Foto, das jemand an einen Kontakt angehängt hat, dann das verbundene Microsoft/Google-Verzeichnis des Mieters, dann die Absender-Domain BIMI-Marke, dann sein Favicon, dann Gravatar. Alles ungelöst macht eine Monogramm, so dass die Kette immer lokal endet. Die Verzeichnis-Tier ist es wert, rufen: die Verbindung fließt hier bereits anfordern admin.directory.user (Google) und User.ReadWrite.All + Directory.Read.All (Microsoft) neben den Mail-Bereichen, so dass für Workspace und 365 Mieter dies gibt autoritäre Fotos ohne erneute Zustimmung zurück und ohne Dritte beteiligt. Es sollte alles im öffentlichen Internet zu schlagen und in der Regel wird. Zwei Phasen, nie eine. Eine Anfrage liest nur Cache; Unbekannte gehen an einen begrenzten Arbeiter mit DiscardPolicy - läuft eine überfüllte Aufgabe auf dem Anrufer würde Hand ein Anfrage-Thread an einen Drittanbieter-Host, und eine verworfene Auflösung kostet nichts weil die nächste Umfrage noch einmal nachfragt. Eine Vollstreckungskette ist DNS plus vier HTTP-Anrufe, und eine Seite trägt Dutzende von Adressen; nichts über das Öffnen eines Ordners kann abhängen auf die Verfügbarkeit von Drittanbietern. Decoupling hält auch Auflösung von Korrelationen mit einem Menschen, der eine Nachricht öffnet, die es zu einer Lesequittung machen würde - die genaue Verhaltens die Mailbox blockiert bereits standardmäßig für entfernte Bilder. Dies ist der erste Abholer der Plattform, dessen Ziel-URL von einem nicht vertrauenswürdigen gewählt wird Partei: Ein BIMI-Retzeig ist DNS-Inhalt, der von jedem, der eine sendende Domain besitzt, veröffentlicht wird, und jeder wird eine sendende Domain durch E-Mail an einen Mieter. Es gibt keinen Austritt NetworkPolicy und kein Vorwärts-Proxy, so dass die Kontrollen in Code sind. SafeImageFetcher pins DNS - ein benutzerdefinierter Enteign Hand OkHttp nur die Adressen, die übergeben PublicHostGuard, Schließen des Rebinfensters, das einen naiven Vorflug besiegt - verweigert umgeleitet, Caps Bytes, wie sie streamen, anstatt zu vertrauen Content-Length, und erfordert einen Bild-Content-Typ. SvgSanitizer pariert und reserializes gegen eine erlaubte Liste statt rasterisierend. Batik 1.17 löst externe Ressourcen standardmäßig auf, so dass es ein feindliche SVG würde sich duellieren <image ************ innerhalb des Clusters, nachdem die URL-Prüfung bereits bestanden hat. Das Tiny PS Profil Verbot, dass ist eine Aussage über die Anpassung von Dateien, nicht über Bytes geholt von der URL eines Angreifers. Provider Miss Semantik sind alle unterschiedlich und alle Cache-Vergiftung, wenn als behandelt Treffer: Gravatar wird mit d=404 gefragt, weil jeder andere Standard 200 mit einem zurückgibt Platzhalter; Googles No-Match ist ein 404 trägt eine ed-identische Globus, so ist es abgelehnt durch Content-Hah; MILF liefert 404 mit einem echten Bild Körper, so Status entscheidet. Bytes werden unter einem zufälligen Namen wieder gehostet - nie eine abgeleitete die Adresse, die jedermann untersuchen lassen würde, ob eine bestimmte Person mit korrespondiert diese Plattform - und diente über eine authentifizierte Route. Redis enthält nur Metadaten. Diese Instanz ist 2GB mit allkeys-lru auf einem emptyDir, einen Schlüsselraum mit jeder Live-Sitzung zu teilen; Caching-Bildbytes dort würde sich vertreiben Sitzungen und unterzeichnen Benutzer nach dem Zufallsprinzip.
· kamo-shared-library
Sender-Identitätsmodell + org-scoped Batch E-Mail-Nachahmungen
Backing Store und Abfragen für die Mailbox sender-avatar Kette. SenderIdentityEntity ist die langlebige Ebene des Avatar-Cache. org_id ist Teil der der natürliche Schlüssel statt Dekoration: USERS.EMAIL ist nur pro Sicherheit einzigartig Anbieter, so dass eine Antwort aus Mieterdaten abgeleitet werden muss nicht sichtbar sein Mieter. Externe Antworten (BIMI/favicon/Gravatar) sind wirklich global und teilen Sie ein sentinel org, so dass jeder Mieter die Trefferquote teilt. Misses werden als Zeilen, nicht Abwesenheiten - ohne dass jeder unauflösbare Absender das Ganze wieder aufnimmt Anbieter-Kette auf jeder Posteingang Umfrage. OrgAvatarSettingsEntity spaltet die Kette nach dem, was das Gebäude tatsächlich verlässt. Die Identitätsstufe fehlt aus, weil sie eine Verdauung eines Korrespondenten offenbart vollständige Adresse an einen Dritten, der auf einem Kredit CRM ist eine Entscheidung über eine Kreditnehmer-Kennung anstelle einer Anzeigepräferenz. Die Projektarchiv-Ergstellungen existieren, weil nichts davon vorher erreichbar war: - ContactEmailRepository hatte keine Durchsicht nach Adresse überhaupt - nur substring LIKE für die Autocomplete - so dass ein Kontakt, der ein Foto hatte nicht gelöst werden konnte von a Von: Kopf. - Mitglieder/User Batch-Lookups sind org-scoped und nehmen vorge-lowercased Eingaben. LOWER() wird nur auf die gespeicherte Spalte angewendet; E-Mails werden wörtlich belassen (EmbEmail hat keinen Normalizer) und CockroachDB Gleichheit ist fallempfindlich. - Die Avatar-id Projektionen geben eher ids als Entitäten ab. Beide Member.avatar und User.avatar sind faule Assoziationen zu einer JOINED-Hierarchie: ein Anrufer außerhalb einer Transaktion bekommt LazyInitializationException, und eine innerhalb bekommt einen Basis-Typ-Proxy, der sich nie auf AvatarPhoto verengt, indem er die Datei einlegt Erweiterung benötigt, um die URL außer Reichweite zu bauen. - ************ ersetzt einen findAll() voll-Tisch-Scan, der einmal pro indizierte Nachricht lief. PublicHostGuard wird geteilt und nicht dupliziert, weil es eine Sicherheit ist Kontrolle: Es entscheidet, ob eine Adresse ist irgendwo werden wir eine Anfrage senden, dass eine nicht vertrauenswürdige Partei wählte. Getestet gegen die realen Bypass-Techniken - IPv4-mapped IPv6, 6to4, NAT64, CGNAT und link-lokale Metadaten. Rechts 177 Gates die Offenlegungsentscheidung.
· kamo-shared-library
Audit Spine für PHI-Zugriff - 164,12(b)
Die Sicherheitsregel erfordert die Aufzeichnung des Zugriffs auf ePHI, was liest. Die Plattform-Datensätze gut - LeadHistory, SystemAccessLog, UserHistory, LoanAuditEvent - und liest fast nirgendwo, weshalb "wer diese Platte angesehen" ist derzeit unbeantwortbar. Das ist auch die erste Frage, die ein Verstoß in Höhe von 164,402 Pfund ist. Bewertung fragt, so dass diese eine Lücke blockiert sowohl die Prüfung Kontrolle und die Vier-Faktor Analyse. Nur die Ebene einfangen; kein Schema. Der langlebige Laden sitzt hinter PhiAccessLogWriter so Anruf-Websites können jetzt verdrahtet werden und die Spüle kann sich entwickeln - schlichte Tabelle, dann Angehängt-nur mit einer Hash-Kette, dann ein signierter Export in Objekt-gesperrte Lagerung ohne Rückwärts durch Hunderte von Anrufseiten. Zwei Eigenschaften tragen das Gewicht: - Die Fehlerabwicklung gehört zur Zugangsart, nicht zum Anrufer. EXPORT, DOWNLOAD und DISCLOSE scheitern geschlossen: ein ungestümer Massenexport ist genau das Ereignis, das Sie kann danach nicht rekonstruieren, und "wir haben die Daten serviert, aber den Datensatz verloren" ist die schlechteste Antwort, um einen Ermittler zu geben. VIEW, LIST und SEARCH scheitern offen und Log laut, weil der Verlust einer Linie lohnt sich nicht, das Produkt nach unten. Das Asymmetrie ist gewollt und will sich abmelden, anstatt anzunehmen. Anrufer Unter Druck lösen politische Fragen in welche Richtung sie auch immer entsperrt die Politik ist nicht auf der Call-Site. - Eine verweigerte Lektüre ist immer noch eine Lektüre. Verweigerte Versuche werden aufgezeichnet, weil der Zugriff Muster von jemand Sondierung Aufzeichnungen, die sie nicht erreichen können, ist, was Erkennung braucht und ist unsichtbar, wenn nur Erfolge protokolliert werden. Startup Sicherheit, die fast schief ging: PhiAccessRecorder ist ein @Component und jeder Service-Komponenten-Scans com.kamo, so eine harte Abhängigkeit von einem Schriftsteller Bohne würde Kontext Start-up über 40 Dienste auf einmal gescheitert - eine ganze Plattform Ausfall von einem Feature nichts angerufen hatte. Der erste Fix, eine @Konfiguration mit @ConditionalOnMissingBean, funktioniert nicht: komponenten-gescannte Konfiguration ist verarbeitet neben Benutzer-Konfiguration statt nach es, so beide Autoren Register und Injektion scheitert an Unklarheiten. PhiAuditContextWiringTest hat das eingefangen. Der Fallback lebt jetzt in der Blockflöte über ObjectProvider.getIfUnique, wo keine Bestellfrage besteht, und mehrdeutige Autoren degradieren auf die Standardeinstellung statt Ausfall Startup. Der Standard Slf4j-Schreiber ist ein Ausgangspunkt, nicht das Ziel - Log-Zeien sind nicht manipulierbar ist und die Beibehaltung ist 14 Tage gegen eine Sechs-Jahres-Verpflichtung. Es existiert, so Call-Site-Verdrahtung nicht auf dem Speicher warten. Identifier werden protokolliert, Inhalt ist nie: ein Audit-Trail, der die Aufzeichnung reproduziert es nur hat das PHI in den Log-Stream verschoben.
· SecurityService
403 statt 500, wenn sich die Compliance-Grenze verweigert
Zwei Call-Sites von FeatureService.enableFeature verstehen nun die HIPAA-Grenze: - /enable Karten PhiModuleNichtPermittedException bis 403 mit der Begründung, Spiegelung des AppliedModelViolationException-Handlings direkt darüber. Ohne dass der breite Haken unten eine bewusste politische Verweigerung in eine 500 verwandelte. - Die automatisch aktivierende Schleife im Listing-Pfad wird mit isPhiPermitted und springt. Es läuft über jeden abgeschlossenen ServiceType, während nur *listing* ein Organisationsfunktionen, so werfen auf dem ersten blockierten Modul gemacht hätte die Funktionen Seite für einen PHI-Staat entlastbar, anstatt einen Eintrag zu verstecken. Inert heute - jede Organisation ist handlesPhi=false.
· kamo-shared-library
Die Compliance-Grenze beim Feature-Schalter durchsetzen
Wires PhiTenantGuard in FeatureService, die einzige Choke Point, durch die eine Modul wird für eine Organisation eingeschaltet. Hier hört die Grenze auf zu sein ein politisches Objekt und beginnt die Durchsetzung. Beide Hälften, denn entweder allein hinterlässt eine Lücke: - enableFeature wirft PhiModuleNichtPermittedException, so dass ein PHI Mieter nicht Ein Modul einschalten, hinter dem Kamo als Geschäftspartner nicht stehen kann. - isFeatureEnabled(Organisation, ServiceType) meldet ein Modul deaktiviert der Mieter behandelt PHI und das Modul ist außerhalb der Grenze, was auch immer OrgFeature Reihe sagt. Die Reihe kann zu Recht sagen, aktiv - es war aktiviert bevor der Pmieter PHI-Pächter wurde, und enableFeature läuft nicht mehr weiter dieser Übergang. istPhiPermitted ist das nicht werfende Formular für Anrufer, die iterieren. FeatureController auto-aktiviert jede abgeschlossene Funktion während *listing*, also ein Wurf auf der ersten blockiertes Modul würde die gesamte Features-Seite verfehlen, anstatt einen Eintrag zu überspringen. PhiServiceTypeMapping bindet ServiceType an PhiModule und ist mit einem Test total das verfehlt den Aufbau auf jedem unmapped Wert. Dieser Test verdiente sich seinen Halt auf den ersten Lauf: es erwischt ServiceType.STORAGE, die ein Grep des enum hatte, und dann AI_CHAT, DOC_MANAGER, DOCS_EDITOR und DOC_CLASSIFIER. Ohne sie, fünf Service Typen wären still außerhalb der Grenze gewesen - das gleiche Auslassungsversagen Der Konstruktor von PhiModule schließt, wird eine Schicht wieder eingeführt. Neue Module für die bisher unmapped Service-Typen, jeweils mit einem expliziten Disposition: Objektspeicherung, Dokumenteneditor und Klassifikator, Support-Tickets, HR, Inventar, Recht, Taschenrechner und Aktivität Feed sind im Inneren; Clubhaus und Spiele sind BLOCKED_PENDING_WORK mit der Begründung, dass sie nicht bewertet wurden, was ein Grund zu blockieren, anstatt anzunehmen. Jede Organisation ist heute mitPhi=false umgegangen, so dass sich kein Verhalten in Produktion. Es wird in dem Moment, in dem der erste Mieter beflaggt wird, beladen.
· kamo-shared-library
Auto-zuweisung eine MERS-kompatible Darlehensnummer bei der Antragstellung
LoanFile.loanNumber war null auf erstellen (sowohl leerer erstellen als auch blei-promote) und immer nur gesetzt, wenn ein Steward ein getippt ein . Minting (ein 10-stelliges MIN-Segment IST die Leihzahl) und jeder nachgelagerte Identifikationsbegrenzung für einen kopflosen Kredit. AppMortgageService weist jetzt eine Leihnummer an beiden Kreationsorten zu: eine saubere 10-stellige numerische (MinMinter-Streifen nicht-Zahlen und braucht ein <=10-stelliges Segment, so eine reine numerische ist die einzige sichere Form), einzigartig pro org über die (org_id, loan_number) Index mit einem begrenzten Retry. Es FAILS OPEN zu null auf einem Kollisionsstreifen oder ein nicht verfügbares Repo - Herabwürdigung zum vorherigen Handbuch Verhalten statt jemals brechen Anwendungserstellung. Ein Kreditgeber-Versorgung Nummer überschreibt immer noch über den Loan-File Patch-Pfad. Keine Schemaänderung (die Spalte existiert bereits, indiziert).
· kamo-signer-monorepo
Geber-Termindaten in der festgelegten Zeitzone des Empfängers
SigningSession gewinnt eine erforderliche Zeitzone (IANA-ID), die ESigService auflöst aus der Mitgliedszone des Empfängers, dann die Org's, dann UTC. WelcomeScreen jetzt gibt es explizit an den Formatierer weiter, so dass das Verfallsdatum von keinem der beiden Die Geräteeinstellungen des Betrachters oder die UTC-Standard des Providers. Das Feld machen erforderlich, anstatt optional fing die eine buchstäbliche Sitzung Baustelle (preview.ts) zur Compilation-Zeit. Auch: - rufen setRequestLocale im Locale Layout an, so dass Übersetzungen an die URL binden Segment statt sich auf die Middleware-Header allein - in der Dockerfile behaupten, dass Nachrichten/überlebte "turbo pfirde", und Dokument warum .dockerignore .gitignore aus dem Baukontext heraushalten muss; ohne das Kupplung Pflaumen lässt die Übersetzungen fallen und die Bildschiffe, die Rohta abgeben mit nichts ausfällt, bis ein Unterzeichner das Dokument öffnet
· ESigService
Signer anzeigen Zeitzone von Mitglied, dann org
Signierende Daten wurden in jeder Zone, in die der Client in Verzug geraten ist, so dass Umschlag ab 2026-08-03T05:00Z könnte einem pazifischen Unterzeichner "Aug 3" lauten für wen die Verbindung ist bereits am Abend des 2. August tot. SigningSession trägt jetzt eine Server-resolved IANA timeZone: der Empfänger eigene Member.timezone, wenn sie ein Mitglied sind und eine gesetzt haben, sonst die senden Organisation.timezone, sonst UTC. SignerZone ist ein reiner Resolver mit Tests, einschließlich einer, die jede TimezoneType Karten zu seiner eigenen ZoneId behauptet, so eine neue enum value kann nicht einen Client-seitigen RangeError versenden. Behebt auch SigningSession.locale, die den enum-Namen aussendete ("SPANISH") anstatt des BCP-47-Codes ("es"), der im Locale-Segment der Signing-URL verwendet wird.
· InitializerService
Erstellen Sie HANDLES_PHI und PHI_EFFECTIVE_DATE auf orgs
Spiegelt die beiden neuen Organisationsfelder, nach der OrgBrandingFieldsMigration Konvention, so dass die Spalten sind auf jeder Umgebung wieder zu produzieren, anstatt nur vorhanden, wo ein ddl-auto Pass passiert zu laufen. HANDLES_PHI ist NICHT NULL DEFAULT FALSE, so dass bestehende Mieter explizit draußen sind die Einhaltung der Einhaltungsgrenze. PHI_EFFECTIVE_DATE ist TIMESTAMP, nicht TIMESTAMPTZ, weil das Entity-Feld eine LocalDateTime ist. Der Test ist ein Drift-Wächter, keine Neuformulierung: er liest Spaltennamen aus dem Entität durch Reflexion und verfehlt die Build, wenn ein Entitätsfeld kein ALTER hat. Das ist der eigentliche Versagensmodus dieser Konvention - jemand fügt ein Feld hinzu, vergisst die Migration, und mit ddl-auto:none in den Dienstleistungen, die es als Produktion auftaucht Abfragefehler statt bei der Bauzeit. Verifiziert durch Mutation: Entfernen der PHI_EFFECTIVE_DATE ALTER lässt es mit der umsaktionbaren Nachricht scheitern und stellt sie wieder her geht grün. Beide Spalten sind bereits im Cluster vorhanden; diese ALTER sind idempotent.
· kamo-shared-library
Persist handlesPhi und phiEffectiveDate auf Organisation
Unterstützt PhiTenantGuard mit einer echten Kolumne. HANDLES_PHI ist NICHT NULL DEFAULT FALSE dem ************-Muster folgen, so dass jeder bestehende Mieter ist explizit außerhalb der Compliance-Grenze und nicht stillschweigend innerhalb dieser. PHI_EFFECTIVE_DATE verfolgt eine Verletzungsbeurteilung und eine Aufbewahrungspflicht rechtes Fenster - "seit wann" ist die erste Frage, die nach "was ausgesetzt wurde" gestellt wird. Konvertit zur Politik mit **************** Die Wache sich bleibt frei von der Entität, so dass ein Anrufer hält nur eine Session-cached Flagge muss keine Zeile laden. Sicher zu schieben: Beide Säulen existieren bereits im Cluster und jede der 12 Organisationen liest falsch. Verifiziert gegen information_schema vor der Landung handles_phi boolean NOT NULL DEFAULT false, phi_effective_date timestamp NULL. Siehe die KamoInitializer Migration für die wiederproduzierbare Form.
· kamo-shared-library
PhiTenantGuard und die Modul-Compliance-Grenze
Der Grundstein der HIPAA-Compliance-Grenze: Welche Module ein Mieter erreichen kann, gegeben, ob dieser Mieter behandelt geschützte Gesundheitsinformationen. Alles Downstream-Schlüssel aus es - welche Integrationen deaktiviert sind, ob MFA gezwungen ist, welche Sitzungen die strengere Auszeit erhalten, was die Prüfungswirbelsäule abdecken muss. Tritt keine Schema-Abhängigkeit aus. Ein früherer Versuch hing dies von einem neuen Organisation.handlesPhi Spalte und musste umgebucht werden: Service CI-Klone Share-Bibliothek Haupt bei der Bauzeit, während KamoInitializer von Hand betrieben wird, so ein Entität Spalte auf Haupt bricht die nächste Service-Einsatz, bis jemand migriert. Die Entkoppelung der Politik von der Einheit bedeutet, dass es landet und kann jetzt durchgesetzt werden, und die Spalte wird zu einem eigenständigen Schritt. Drei Eigenschaften, um die es sich handelt: - Fails geschlossen. Der Konstruktor von PhiModule benötigt eine PhiDisposition und einen Grund, so ein Modul hinzugefügt später kann nicht erben Erlaubnis durch Auslassung. wird es nicht kompilieren ohne eine Entscheidung, und alles andere als PERMITTED bestreitet. Das ist der Ausfallmodus eine Compliance-Grenze muss überstehen: ein Modul Schiffe, niemand denkt an PHI, eine Klinik beginnt damit. - Ein ungelöster Mieter ist kein sicherer Mieter. Der Wächter nimmt einen Drei-Zustand PhiTenantStatus statt eines boolean, so "Ich konnte nicht die Organisation laden" kann nicht auf die gleiche Weise geschrieben werden wie "diese Organisation ist nicht PHI". Mit einem boolean, der Fehlerpfad ist zugegeben(falsch, ...) leicht zu erreichen, unmöglich, in der Überprüfung zu erkennen. UNKNOWN leugnet alles. - Nichts zu erheben. Die Entscheidung ist eine reine Funktion von (Status, Modul) ohne Anrufer, Session, rechts oder God-Mode Parameter. "Unsere Support-Mitarbeiter können es drehen off" ist die Antwort, die eine abgedeckte Überprüfung scheitert. Dispositionen folgen der Spähanalyse in kamo-internal ************ Zulassung: CRM, Kontakte, Dokumententresor, selbstgehostete E-Mail, E-Zeichen, Notizen, Aufgaben, Kalender, interner Chat, der In-Cluster Transkription/Übersetzungsstapel, MLOS. Blockiert ohne erhältliche BAA: sozial Messaging, Canva, E-Commerce Sync, MCP Gateway. Verstopfte anstehende Arbeit: die AI Router, RAG-Suche, Tagungsaufnahmen, VOIP-Aufnahmen, Marketing-Kampagnen, Analytik Export. Nichts ruft die Wache noch, so ist dies träge, bis verdrahtet.
· InitializerService
Erstellen Sie HANDLES_PHI und PHI_EFFECTIVE_DATE auf orgs
Spiegelt die beiden neuen Felder auf der Organisation Einheit in kamo-shared-Bibliothek, im Anschluss an die OrgBrandingFieldsMigration Convention. HANDLES_PHI ist NICHT NULL DEFAULT FALSE, so dass jeder bestehende Mieter explizit außerhalb der Einhaltung ist Grenze statt still in ihr. PHI_EFFECTIVE_DATE ist TIMESTAMP, nicht TIMESTAMPTZ, weil das Entity-Feld eine LocalDateTime ist. SEQUENCING - das muss vor dem nächsten Service-Einsatz laufen. Dienstleistungen pin Kamo-shared-Bibliothek in einer festen Version, die wiederveröffentlicht wird, so dass die erste Service zu bauen, nachdem diese Bibliothek Änderung beginnt die Auswahl dieser Spalten, und mit ddl-auto:none in den Diensten, die fehlschlagen, bis dieser Läufer ausgeführt hat. Der begleitende Test ist ein Drift-Schutz, keine Neufassung: Er liest die Spalte benennt die Entität durch Reflexion und scheitert am Build, wenn ein Entitätsfeld keine hat ALTER. Das ist der Ausfallmodus, den diese ganze Konvention hat - jemand fügt ein Feld hinzu, vergisst die Migration, und sie taucht als Produktionsabfragefehler anstelle von bei Bauzeit. Verifiziert durch Mutation: Entfernen der PHI_EFFECTIVE_DATE ALTER macht es scheitern mit der umsverfänglichen Nachricht, Wiederherstellung geht grün.
· ESigService
Emit der Signer Locale Segment in Signing-Links
Extrahiert das Byte-für-Byte duplizierte BuildSignLink in SignLinkBuilder und fügt ein Locale-Segment von Organization.language, fallend zurück nach Englisch für die vier LanguageType-Werte ohne Übersetzungen. Erfordert den Kamo-Zeichen /{locale-/ Routing, um zuerst eingesetzt zu werden.
· kamo-shared-library
Fügen Sie die GriffePhi Mieter Flagge und PhiTenantGuard
Der Grundstein der HIPAA-Compliance-Grenze: eine Pro-Organisations-Flagge plus ein Wache zu entscheiden, welche Module diese Organisation erreichen kann. Alles stromaufwärts Schlüssel davon - welche Integrationen deaktiviert sind, ob MFA gezwungen ist, welche Sitzungen erhalten die strengere Auszeit, was die Prüfung Wirbelsäule zu decken hat. Organisation gewinnt HANDLES_PHI (BOOL DEFAULT FALSE) und PHI_EFFECTIVE_DATE, nach dem bestehenden ************-Muster. Zahlungsausfälle falsch, so ist dies inert für die bestehende Hypothek und CRM-Buch. Drei Eigenschaften, um die sich das Design herum entwickelt: - Fails geschlossen. Der Konstruktor von PhiModule benötigt eine PhiDisposition und einen Grund, so ein Modul hinzugefügt später kann nicht erben Erlaubnis durch Auslassung . es wird nicht kompilieren ohne Entscheidung, und alles andere als PERMITTED bestreitet. Das ist der spezifische Fehlermodus, den eine Compliance-Grenze überstehen muss: ein Modul wird ausgeliefert, Niemand denkt an PHI, eine Klinik beginnt damit. - Nicht umsetzbar. Die Entscheidung ist eine reine Funktion von (Organisation, Modul) mit kein Anrufer, Sitzung, Recht oder God-Mode-Parameter, so gibt es nichts zu erheben. "Unsere Support-Mitarbeiter können es ausschalten" ist die Antwort, die eine abgedeckt scheitert Überprüfung des Unternehmens. - Verleugnungen tragen einen Grund, weil eine nackte "verweigert" ist nicht nutzbar durch eine Unterstützung Ingenieur oder Kunde. Dispositionen folgen der Spähanalyse in kamo-internal ************ Heute erlaubt: CRM, Kontakte, Dokument Gewölbe, selbstgehostete E-Mail, E-Zeichen, Notizen, Aufgaben, Kalender, interner Chat, die in-Cluster Transkription/Übersetzungsstack und MLOS. Blockiert ohne erhältlich BAA: Social Messaging, Canva, E-Commerce-Sync, MCP Gateway. Verstopft anhängig benannt Arbeit: AI Router, RAG Suche, Tagungsaufzeichnungen, VOIP-Aufnahmen, Marketing Kampagnen, Analytik Export. Schema Hinweis: HANDLES_PHI und PHI_EFFECTIVE_DATE materialisieren sich auf der nächsten KamoInitializer laufen, nachdem CI veröffentlicht diese Shared-Bibliothek Build. Nichts liest die Flagge noch, so dass die Bestellung ist sicher.
Euer Universum wartet.
Fügen Sie Produkte hinzu, wann immer Sie möchten – keine Migration, keine neuen Anmeldungen.
Für immer kostenlos – keine Kreditkarte erforderlich