Changelog
Was ist neu?
Jede Verbesserung an der Plattform, wie sie geliefert wird.
· kamo-shared-library
FHIR-Repositories, mit der 40001-sicheren Version
behauptenNextVersion ist ein UPDATE ... SET current_version_id = current_version_id + 1 und muss die erste Erklärung einer Schreibtransaktion sein. Das Offensichtliche alternative - die aktuelle Version lesen, eine hinzufügen, schreiben Sie read-after-write innerhalb einer Transaktion, mit der YugabyteDB abtreibt SQLSTATE 40001 unter Concurrency. Es scheitert unregelmäßig, so dass es präsentiert als zufällige Sackgasse, und eine Retry-Schleife scheint es zu beheben, während der Behebung nichts: der Retry hat die gleiche Form und gewinnt das Rennen öfter. Die UPDATE nimmt auch die Sperre und liest in einer Rundreise, die eine ist weniger als das, was es ersetzt. findClaimedVersion liest in der gleichen Transaktion zurück und ist trotz sicher dass Warnung, weil die UPDATE bereits nahm die Zeile Schloss read-restart-Problem ist über Zeilen eine andere Transaktion kann unter Ihnen bewegen. Die Ressourcensuche gibt absichtlich DELETED-Ressourcen zurück. Ein Anrufer muss tell "nie existierte" (404) von "gelöscht" (410 Vorbei) und FHIR erfordert eine gelöschte Ressource zu halten Beantwortung Vread und _Geschichte; Filterung sie hier würde das unmöglich eine Schicht nach oben machen. FhirResourceVersionRepository erklärt NO Löschen und NO-Update, und ein Test erzwingt, dass sie nie eine gewinnt. Das Unternehmen lehnt beides durch @PreRemove/@PreUpdate - aber das sind ENTITY CALLBACKS, und eine Frühlingsdaten abgeleitete delete kompiliert zu Bulk JPQL, die sie vollständig umgeht. Ein solches Methode würde klinische Geschichte still löschen, während das Unternehmen eigene Schutz nie gefeuert. Nicht zu erklären ist der eigentliche Schutz, und das ist eine Entscheidung, die kein Compiler durchsetzt. Geschichte und Reprojektion Lesungen sind beide Seiten, weil eine aktiv geändert Diagramm sammelt Versionen und eine grenzenlose Lektüre ist ungebunden genau dort es tut am meisten weh. SharedLibBeanSafetyTest geht noch durch: Repositories sind Schnittstellen, und keine Stereotyp Beine wurde der Bibliothek hinzugefügt. 1655 Tests grün.
· kamo-shared-library
Die Begegnungsrücken (SP5)
Das Unternehmen alles Klinische hängt ab - eine Notiz, eine Bestellung, eine Diagnose und eine Ladung alle Punkt auf die Begegnung, in der sie entstanden. Geplante und tatsächliche Zeiten sind separate Spaltenpaare, die beide eine Vorwärts-Kompatibilität Entscheidung und einfach wahr. R4 gibt eine Begegnung Einzelzeitraum; R5 und R6 aufgeteilt von der tatsächlichen, so Modellierung eins jetzt würde bedeuten, jede Begegnungsreihe und jede Terminfrage umzuschreiben, wenn das landet. Es ist auch, wie eine Praxis misst ihre eigene Verspätung - die Lücke zwischen dem, was gebucht wurde und was passiert ist, ist genau die Sache zusammenbrechen sie verwirft. classCode wird als einfacher Code plus sein System und nicht als eingebettet gespeichert Coding, weil R4 es als Coding eingibt und R6 es verändert; Säulen überleben beides. Es ist auch nicht kosmetisch: es treibt den Place-of-Service-Code auf der Behauptung, und ein Telemedizin Besuch als persönlich abgerechnet ist eine falsche Behauptung. Vernunft wird von der Diagnose ferngehalten. Was der Patient sagte und was die Kliniker abgeschlossen sind verschiedene Fakten, und ein Diagramm, das sie vermischt verliert die Beschwerde ganz. EncounterParticipant ist ein Kindertisch, weil der Aufsichtsfall nicht abgeflacht werden: die Abrechnung Anbieter auf einen Anspruch wird von der berechnet Aufsichtsprotokoll anstatt von einem Biller getippt, und unter Vorfall-zu Regeln die Rolle entscheidet, ob der Besuch überhaupt abrufbar ist. ist sein eigenes Feld, weil ein beaufsichtigender Arzt kann ohne im Raum zu sein und die Anwesenheit aus der Rolle zu schlussfolgern würde schweigend behaupten etwas über eine Forderung, die niemand überprüft. EncounterDiagnosis.rank ist tragend und sieht kosmetisch aus. Service-Linien auf ein professioneller Anspruchspunkt bei Diagnosen BY POSITION - der zeiger ist ein Index, kein Code - also eine gespeicherte Bestellung, die nicht mit der eingereichten Ordnung lenkt jede Zeile, und die Forderung wird entweder verweigert oder gegen bezahlt ein Zustand, den der Patient nicht hat. adressiertAtEncounter existiert, weil nicht jede aufgeführte Diagnose wurde tatsächlich ausgewertet, und die E/M-Ebene ist berechnet von denen, die waren; Zählen bloße Anwesenheit aufgeblasen. Begegnungen werden nie gelöscht - eine irrtümlich erstellt eingegeben-in-Fehler und Aufenthalte, weil Bestellungen, Notizen und Gebühren bereits Referenzen und eine baumelnde Referenz ist schlimmer als eine sichtbar falsche Aufzeichnung. 1651 testet grün.
· kamo-internal
Sagen Sie den Leuten, dass ein Web-Alias genommen wird, während sie ihn tippen
Der erstellene Assistent ist elf Schritte lang und der Alias wurde nur für validiert FORMAT lokal - ob jemand es bereits gehalten wurde entdeckt, wenn die Formular wurde eingereicht, am Ende, auf eine Organisation, die nicht sein konnte erstellt. Jetzt sagt das Feld so, während es noch auf dem Bildschirm ist. Deutlich bei 400ms, so dass das Tippen eines Wortes eine Anfrage ist. Jeder Scheck trägt eine Ticket und eine abgestandene Antwort wird fallen gelassen: Eingabe "acme" dann "acme-2" darf nie belassen Sie das Urteil für "acme". Die lokalen Regeln - alle Ziffern und das [a-z0-9-]{1,63"-Format - werden überprüft vor jeder Anfrage, und sind absichtlich die gleichen Regeln SecurityService Durchsetzung auf schaffen. Wenn sie driften, sagt das Feld "verfügbar" für etwas erstellen dann weigert sich, das ist das Versagen, das dies entfernt. Sie sind rein Funktionen, so dass ein Test kann sie anheften, und der Haken läuft die getesteten. Ein unerreichbarer Scheck liest sich als "konnte nicht überprüfen" und lässt das Mitglied tragen auf, anstatt nicht offen für "verfügbar" und setzen sie wieder, wo sie begannen. "Taken" nennt keine Organisation: Der Assistent hat nichts zu suchen Einem Kunden von einem anderen erzählen. Beide Alias-Eingänge werden abgedeckt - der Web-alias-Pfad und der einfache. 2943 Tests und alle 8 Wachen bestehen, i18n inklusive. Kopie landete in Kamo-Translation-dictionary first.
· InitializerService
Make orgs.alias einzigartige Plattform-weit
Die Kolonne war nie eingeschränkt. Überlebenswert, während ein Alias nur war gelöst als (security_provider_id, Alias) hinter einem Host, da zwei Orgs unter verschiedenen Anbietern könnte ein ohne Mehrdeutigkeit zu teilen. Einmal ein Org kann direkt nach seinem Alias mit ?org= benannt werden, eine Wiederholung macht die Referenz Zweideutig - der Reeder weigert sich, anstatt zu raten, so dass BEIDE orgs unerreichbar nach Alias. Auf die Live-Datenbank angewendet, nach der Umbenennung der sechs Reihen, die kollidierten (vier teilen "acme-corp", zwei teilen sich "kia-kaha", alle am selben Tag gesät) mit einem numerischen Suffix. Das ist es, was einer frischen Umgebung das gleiche gibt Index; der Dienst hat keine CI, so schieben sie Schiffe nichts auf eigene Faust. Auf niedriger(alias), weil der Alias wörtlich und Postgres Gleichberechtigung gespeichert ist ist nicht case-unsensitive: "Acme-Corp" und "acme-corp" lösen dasselbe Referenz und muss kollidieren. Teilweise, weil NULL oder leer "keine Alias" bedeutet anstatt dass ein Name beansprucht wird, und eine beliebige Anzahl von Orgs darf keinen haben. Loggt und fährt fort, wenn es nicht erstellt werden kann, anstatt scheitern der Lauf Das bedeutet, dass Duplikate existieren und die Erstellung/Update-Prüfungen neue verweigern egal.
· SecurityService
Antwort, ob ein Web-Alias noch frei ist
Der Org-Schöpfungsassistent ist elf Schritte lang und der Alias wurde nur überprüft wenn das Formular eingereicht wurde, so dass jemand, der einen Namen ausgewählt hat, ein anderes Organisation bereits statt wurde ganz am Ende gesagt, auf einer Org, die nicht erstellt werden. GET /org/alias-verfügbar beantwortet die gleiche Frage, die die Schreibpfade erzwingen - global und fallunempfindlich genommen, oder alle Ziffern - so der Assistent und Der Server kann nicht widersprechen. Wenn sie es täten, würde das Feld sagen "verfügbar" für etwas erstellen dann weigert sich, das ist der Fehler, die dies entfernt. Session-bewacht. Die Antwort ist ein boolean über einen Namen, den der Anrufer getippt hat, welche schaffen würde ihnen sagen, sowieso, aber es gibt keinen Grund, eine Hand nicht authentifizierte Anrufer eine Möglichkeit, aufzuzählen, welche Aliasnamen in Gebrauch sind. Beratung, keine Reservierung: Zwei Personen können den gleichen Alias eingeben einmal und beide gesagt werden, es ist kostenlos. Der einzigartige Index und der create check regeln, dass; dies verengt nur das Fenster auf etwas, das nicht tut Materie in der Praxis. 964 Tests bestehen.
· kamo-shared-library
Das Patientenunternehmen und seine US-Kernsatelliten (SP5)
Eine neue Einheit statt einer Wiederverwendung, und jede Ablehnung ist eher konkret als stilistisch. Nicht Mitglied: GET /api/security/members/names returns every every Mitglied eines Org mit KEIN rechtem Tor und dem durchgesetzten Endpunkt gibt Namen zurück Teile plus Geburtsdatum auf einem gleich-org-Check allein, so dass alle authentifiziert Sitzung - einschließlich eines anderen Patienten - würde den Dienstplan aufzählen. Nicht Lead: es ist @Inheritance(JOINED), und ein Holdiagramm in einem von denen genommen /führt auf die Hibernate-Version ein Großteil der Flotte noch läuft. Nicht Kontakt: Diese gehören zum persönlichen Adressbuch eines Benutzers, das die das Gegenteil eines Patienten, der zur Praxis gehört. Derselbe Mensch ist in jeder Praxis ein DIFFERENT-Patient. Das ist die Mietdauer Grenze, kein Kompromiss - jedes abgedeckte Unternehmen hält seinen eigenen Rekord, MRN und Zustimmung Haltung, und Cross-Praxis-Identität ist ein passendes Problem für die MPI und nicht eine gemeinsame Reihe. Drei Sex/Geschlechtskonzepte sind getrennte Säulen, weil sie antworten verschiedene Fragen und eine Spalte kann nicht alle drei bedienen. Verwaltungseinheit Geschlecht ist, was auf Papierkram erscheint; Geburtsgeschlecht ist Zertifizierung-geprüft und Durchsuchbar; sexForClinicalUse ist diejenige, die Referenzgebiete antreibt und dosieren. Sie miteinander zu vermischen ist, wie ein Trans-Patient die falsche Referenz bekommt Bereich auf ein Laborergebnis. birthDate ist ein LocalDate absichtlich - ein Geburtsdatum hat keine Zeit und keine Zone, und ihm eine verschiebt es über die Datumsgrenze für jeden, der Reisen. Aus diesem Grund verbietet die Disziplin Gurtzeug LocalDateTime speziell anstatt aller lokalen Typen. birthDatePrecision ist da, weil ein Patient der nur ihr Geburtsjahr weiß, ist üblich, und speichert das als 1. Januar dann passend auf das genaue Datum still nicht zu finden. Rasse und ethnische Zugehörigkeit sind ein Kindertisch, weil eine Person mehrere melden kann und eine einzelne Säule zwingt jemanden von gemischtem Erbe in welche Box die Code passiert zu halten. Sie füttern Qualitätsmassnahmen und Disparity Reporting, so sind sie nicht demografische Dekoration - und selbstReported Standardwerte wahr weil sie von dem, was ein Patient sagte aufgezeichnet, nicht abgeleitet. Sprache trägt Dolmetscher als unabhängige Tatsache erforderlich: ein Patient kann Spanisch und Decoder und einen Dolmetscher bevorzugen und von einem der anderen ableiten ist in beide Richtungen falsch. Abschnitt 1557 schaltet sich auf beiden. aktive Mittel "dieser Datensatz ist in Gebrauch", NICHT Soft-deleted, und mergedIn plus mergedAt existieren, weil die Plattform nur bestehende Fusion ist Eins-Wege mit keine Entschmelzung - und die Zusammenlegung der falschen zwei Patienten gehört zu den schädlichsten Fehler, die eine Praxis machen kann. contactId behält die CRM-Verbindung, so dass die Akquisition einer Person folgt von der ersten Anfrage in das Diagramm. Kein eigenständiges EHR kann das, weil es hat keine Person, bevor es einen Patienten hat. 1651 Tests grün.
· kamo-shared-library
Das Offenlegungs- und Patientenbeschränkungen (SP2)
DisclosureLedger ist absichtlich von phi_access_log getrennt. Das Zugangsprotokoll Aufzeichnungen jedes READ, und die meisten liest sind ein Kliniker Eröffnung einer Tabelle; Ableitung einer Buchhaltung von ihm übergibt dem Patienten eine Dokumentenliste Tausende von internen Ansichten, was sowohl falsch als auch alarmierend ist. 164.528 Konten für DISCLOSURES - PHI verlässt das gedeckte Unternehmen - nicht intern verwenden. Die beiden umfassen auch unterschiedliche Zeiträume und unterschiedliche Zwecke, die warum purposeOfUse zur Zugriffszeit abgestempelt und hier statt später gefolgert. hipaAccountable wird gespeichert und nicht abgeleitet von dem Zweck auf lesen, weil die Regel Ausnahmen hat der Zweck allein nicht erfassen . Offenlegung des genehmigten Patienten wird anders als ein gemachtes abgerechnet unter einer Behandlungsausnahme - und es später zu wiederholen bedeutet, dass es um eine Neuentnahme diese Ausnahmen von Daten, die nicht mehr existieren. Patientenbegrenzung trägt die Verpflichtung in Höhe von 164.522, die ein gedeckter Unternehmen NICHT mit sich bringt weigern: ein Patient, der aus der Tasche in voller Höhe zahlt, kann verlangen, dass die Service nicht zu ihrem Plan bekannt gegeben werden. Das ist die, die in der Regel umgesetzt falsch, weil das Verstecken der Begegnung auf einem Bildschirm nicht einhält. Es muss bleiben Sie sich von CLAIM SUBMISSION und aus ELIGIBILITY ENQUIRIES heraus, da beide sagen Sie dem Plan, der Service passiert ist. Ein System, das es im Diagramm versteckt und Rechnungen hat es sowieso offenbart genau, was der Patient bezahlt, um zu verhindern, und sie erfahren aus ihrer Erklärung der Vorteile. Also unterdrücktFromClaims ist seine eigene Flagge durch den Abrechnungspfad überprüft, nicht Aus einer Anzeigeregel gegliedert - Display-Regeln werden für Benutzerfreundlichkeit gelockert und eine Abrechnungsunterdrückung darf nicht mit ihnen reisen. trennen Sie wieder, denn eine 270 fragen einen Plan über einen Dienst signalisiert Service wird erwogen; Unterdrückung der Forderung allein Lecks die gleiche Tatsache mehr leise. Beide Tische schließen Reihen, anstatt sie zu löschen. Eine Aufhebung der Beschränkung noch erklärt, warum ein Dienst für sechs Monate nicht abgerechnet wurde, und das Ledger ist Anhängen nur, weil eine Buchhaltung, die bearbeitet werden kann, ist keine Buchhaltung. Temporale Grenzen sind exklusiv am Ende Instant und die Prüfungen Pin beide Anweisungen, einschließlich, dass eine unvollständige Zeile verweigert, anstatt zu werfen dieses Prädikat sitzt auf dem Abrechnungspfad. 1653 testet grün.
· kamo-shared-library
Pflegebeziehungen und Break-Glas, die Fakten hinter der Zugangsgrundlage (SP2)
PhiAccessBasis gewann CARE_TEAM und BREAK_GLASS letzten Commit; ohne diese zwei Tabellen diese Werte sind dekorativ. Nichts auf der Plattform modelliert ein Anbieter-Patienten-Beziehung überhaupt - die Umfrage fand keine solche beitreten überall - so Genehmigung konnte nur antworten "kann diese Person Diagramme lesen", die jeder Arzt in einer Praxis kann. Die Frage minimal-notwendig Einschaltet ist, ob sie DIES lesen dürfen. CareRelationship ist eine fortbestehende FACT, absichtlich kein RoleRightType, und jeder Grund beißt von selbst. Rechte werden in *** bei Login schnappt, also ein Widerruf würde nicht zu einer Live-Sitzung zu erreichen - eine beendete Beziehung hat zu Stoppen Sie jetzt die Gewährung des Zugangs. Ein neues Recht kommt leise GRANTED für Grant-all Administrator-Rollen, die katastrophal ist für etwas, das sein soll pro Patient. Und checkRight() kehrt für alles im Gott-Modus wahr, Während eine Beziehung entweder existiert oder nicht. Reihen werden mit gültigTo geschlossen, nie gelöscht. "War diese Person auf der Pflege Team, wenn sie die Tabelle im März geöffnet" kann nicht von heute beantwortet werden Pflege-Team, und das ist genau das, was eine Zugangsbeprüfung verlangt. BreakGlassGrant existiert, weil die Weigerung, es zu bauen, nicht die sichere Wahl ist. Ein Patient kommt bewusstlos an und der behandelnde Arzt ist in keinem Pflegeteam noch; ein System, das sagt, nein ist, dass man herum arbeitet, und der Workaround ist ein gemeinsames Login. Die Kontrolle ist nicht Prävention - es ist, dass der Zugang ist schmale, angegebene, zeitverbreitete und READ NACHWARDS. Der Grund ist freier Text und erforderlich, weil sein Wert ist, dass ein Mensch schrieb es und ein anderer Mensch liest it; ein Dropdown wird angeklickt, ohne zu lesen. Bewusst NICHT Gott-Modus: das ist Plattform-Personal Break-Glass, Server-Besessen. Routing der klinischen Notfälle eines abgedeckten Unternehmens durch Kamos Lieferanten Die Hintertür ist die eine Kontrolle, an der ein BAA-Rezensentiker nicht vorbeikommt. Beide temporalen Prädikate behandeln ihren Endjustiz als EXKLUSIV und die Tests pin die Grenze in beide Richtungen - ein inklusives Ende leise erweitert jede endete Beziehung und jede abgelaufene Override durch eine Zecke, und keines Scheitern wirft alles. 1644 Tests grün.
· InitializerService
Tenant_id wieder an die Vorderseite der klinischen Ressourcenschlüssel setzen
ddl-auto gebaut PRIMARY KEY (logical_id, resource_type, tenant_id) auf fhir_resource_current und fhir_resource_version, weil Hibernate emittiert @EmbeddedId Spalten alphabetisch und nicht in Deklaration Reihenfolge. Auf YugabyteDB die FIRST Primär-Tasten-Spalte entscheidet die hash-Shard, so führend mit einer UUID verteilt die gesamte Grafik eines Trainings auf jedes Tablet und verwandelt jede Lektüre in einen Cross-Node-Fan-out - genau das Gegenteil von dem, Komposit-Schlüssel existiert. Erzeugt statt ALTERs: Das Ändern eines Primärschlüssels ist eine Tabelle neu zu schreiben und Yugabyte's ALTER ... ADD PRIMARY KEY Unterstützung ist begrenzt. Beide Tabellen sind neu und leer, so ist dies genau und billig, und der Läufer REFUSES zu berühren Tabelle halten Reihen - an diesem Punkt ist der richtige Schritt eine geplante Migration mit einer Datenkopie, und herauszufinden, dass aus einer Log-Zeitung schlägt es heraus von fehlenden Diagrammen. Idempotent, und es überprüft gegen pg_constraint anstatt anzunehmen: einmal der Schlüssel ist richtig, er inspiziert, stimmt zu und tut nichts. Ausnahmen werden aufgegriffen pro Tisch, weil ein Wurf, der einem Läufer entgeht, still und ohne jeden Läufer zurückhält nach ihm bestellt.
· kamo-internal
Hinzufügen der System Bugs Registerkarte
Mitglieder melden Mängel in der Plattform mit Screenshots und den Websites, die sie die dev-Maschine. Ein Mieter sieht nur die Bugs seiner eigenen Organisation und die Plattform Organisation sieht jeden Mieter-"s entschieden Server-Seite, so dass die Konsole hat nie einen eigenen Spielraum, um sich zu irren. MANAGE_SYSTEM_BUGS ist eine Plattform rechts und Gates eine ACTION statt einer Konfiguration Registerkarte, das ist, was die Oberflächen-Abdeckungstest jetzt Aufzeichnungen. Die Screenshot Dropzone nimmt eine Paste sowie einen Drag oder einen Klick, weil ein Screenshot ist fast immer schon auf der Zwischenablage von der Zeit jemand setzt sich hin, um einen zu melden. Senden Sie an KI prüft, ob die dev-Maschine einen Versand VOR der nehmen kann Betreiber schreibt alles, und hält ihren Text auf einem Ausfall statt macht sie es zweimal schreiben. Modell und Aufwand werden als Namen gesendet; die Konsole baut nie eine Flagge.
· kamo-shared-library
DS4P Sicherheitsetiketten, angewendet zur Schreibzeit (SP2)
Die indexierte Projektion der Meta.security-Etiketten einer Ressource und die Sache das muss vor dem ersten klinischen Leseweg existieren, anstatt nach dem erster verhaltensmedizinischer Kunde. Angewandt zur WRITE-Zeit, nie zur Lesezeit berechnet, für eine mechanische Begründung: Ein zur Lesezeit abgeleitete Etikett muss durch jeden Leseweg abgeleitet werden unabhängig - FHIR-Suche, Portal, C-CDA-Generation, TEFCA Antwortener, Bulk Export, Anspruch Vorlage - und die, die vergessen wird, ist die eine, die undicht. Einmal neben der Ressource geschrieben, ist es ein einziges Prädikat Jeder Weg teilt. Indiziert statt nur innerhalb der Ressource JSON leben, weil Segmentierung ist ein FILTER auf jeder klinischen Abfrage. Ein Label in der Datenbank kann nicht sehen bedeutet, dass Filterung im Anwendungscode nach dem Beladen der Zeilen, die sowohl langsam ist als auch genau die Form, die unter Paginierung undicht ist. labelKind existiert, weil die vier Arten unterschiedlich durchgesetzt werden und müssen nicht als eine Tasche verglichen werden. Eine Vertraulichkeitsebene ist eine Obergrenze für die Frage, wer kann gelesen; ein Sensibilitätscode besagt, welche Zustimmung gilt; eine Refrain-Politik ist eine Anweisung an den RECIPIENT, der mit einer Offenlegung reist. Behandlung eines Refrain-Code als Lesefilter blockiert nichts; Behandlung eines Empfindlichkeitscodes wie man alles blockiert. patientId ist denormalisiert, weil eine Zustimmungsprüfung fragt, was eingeschränkt ist für DIESES Patienten, und zu Fuß von jeder beschrifteten Ressource zurück zu seinem Subjekt wäre ein Join pro Reihe auf dem heißen Weg jeder klinischen lesen. manuellAssigned ist da, so dass ein automatisiertes Relabel nicht stillschweigend überschreiben kann die explizite Einschränkung eines Klinikers, und zugewiesen Zurückhaltung so "wer hat dies entschieden Hinweis ist Teil 2 Daten" hat eine Antwort, die nicht "das System hat" ist beide, um eine Beschränkung zu verteidigen und eine irrtümlich angewandte zu heben. Dringend statt theoretisch: 42 CFR Part 2's Compliance Datum weitergegeben 16. Februar 2026 und OCR eröffnet Zivilvollstreckung am 13. Die 2024 Regel entspannte körperliche Trennung, aber behielt die Redisclosure Hinweis und die bar auf Verwendung in Gerichtsverfahren, so Teil 2 Provenienz muss noch etikettiert und muss stromabwärts überleben.
· kamo-shared-library
Erweiterung der Prüfungswirbelsäule für die klinische Buchführung (SP2)
Vier Felder, ohne die die klinischen Lesewege nicht funktionieren können, und keines davon kann nachgefüllt werden - jedes zeichnet etwas auf, das nur im Moment von Zugang. purposeOfUse ist diejenige, die am meisten zählt, weil ZWEI verschiedene rechtliche Berichte werden aus den gleichen Reihen gebaut und sind anderer Meinung. -164.528 - HIPAA, Sechs-Jahres-Rückblick - EXCLUDES Behandlung, Zahlung und Operationen. 42 CFR 2,25 - Teil 2, Drei-Jahres-Rückblick durch eine EHR, live seit dem 16. Februar 2026 - INCLUDES sie. Eine Reihe ohne Zweck gehört in weder das eine noch das andere und kann nicht einer später zugeordnet werden; es aus dem Anfragepfad nachher ableiten ist guessne, und die Ausgabe ist ein rechtliches Dokument, das einem Patienten übergeben wird. Übermelden alarmiert sie vor Enthüllungen, die nie passiert sind, Die Untererfassung ist ein Verstoß, und keiner von beiden erhöht eine Ausnahme. patientCompartmentId ist NICHT resourceId. Die empfindliche Aufzeichnung ist in der Regel ein Beobachtung oder eine Notiz, deren ID sagt nichts darüber, wessen Diagramm es ist, so ohne es die buchstäbliche Frage 164.528 - alles jemals über diese gesehen Patient - hat kein Prädikat und wird zu einem vollständigen Scan der größten Tabelle auf die Plattform. Es bekommt einen Index, und das ist ein erklärter Handel und nicht ein freier Gewinn: auf Yugabyte ist jeder Sekundärindex eine separate verteilte Tabelle, so wird eine Audit-Einlage zu fünf verteilten Schreibvorgängen statt vier. Die Batch-Schriftsteller absorbiert es; ein voller Scan gegen eine 60-Tage-Rechtsuhr tut nichts absorbieren. ZugriffsBasis Aufzeichnungen auf, welche AUTHORITY der Anrufer erreicht hat, sich davon unterscheiden, warum sie es wollten. "Öffnet diese Karte für die Behandlung" ist unauffällig; "öffnete diese Karte für die Behandlung und ist nicht auf der Pflege-Team" ist die Feststellung, dass eine Insider-Drohung überprüft existiert, um Oberfläche. Ob jemand vor sechs Monaten in einem Pflegeteam zu sein, ist nicht von der heutigen Pflege-Team verantwortlich Tabelle, so ist es jetzt gestempelt oder es ist weg. Neunzehn klinische Ressourcentypen anhänglich, benannt nach ihrer FHIR-Ressource Typen so eine Prüfungsreihe, eine AuditEvent-Prognose und eine TEFCA-Offenlegung aufnehmen alle sagen das gleiche Wort. Sicher anhängen ohne Migration: die Spalte ist VARCHAR(40) ohne CHECK und mit einem Testpin, für den jeder Name noch passt, weil ein übergroßer Name beim Einstecken ausfällt, der für eine ausfallgeschlossene Art ausfällt bedeutet, die Lektüre selbst zu verweigern. Jedes Feld ist ungültig, also alle bestehenden Zeilen und jeder nicht-klinische Anrufer sind nicht betroffen. 1636 Tests grün.
· kamo-shared-library
Die acht getippten Suchindex-Tabellen (SP3)
Die Suche läuft über explizit getippte Tabellen, nicht JSONB mit GIN. Das ist erzwungen durch die Datenbank, nicht gewählt: Yugabytes eigene Dokus geben an, dass ein GIN-Index nicht verwenden Sie mehr als einen erforderlichen Scan-Eintrag, Multi-Solon-GIN ist nicht unterstützt, Nur IndexScan ist verfügbar, und UPDATE ist DELETE + INSERT. Die Single Abfrage US-Kern Mandate die meisten - Beobachtung nach Patient UND Kategorie - ist zwei erforderliche Scan-Einträge, so dass ein JSONB-primärer Server am langsamsten wäre bei genau das, was Zertifizierungstests. Jede Tabelle existiert, weil ihr Typ einen Fehlermodus hat, den die anderen nicht haben: - SpidxDate speichert eine INTERVAL, weil ein FHIR-Datum IST. 2026, 2026-08 und 2026-08-24 sind unterschiedliche Werte und eq2026 bedeutet das ganze Jahr. A ein einziger Instant bricht sie und dann still nicht zu entsprechen, so ein Geburtsdaten, die als ein Jahr verzeichnet werden, wird nicht durch eine Suche für dieses Jahr gefunden. A null hoch bedeutet STILL RUNNING, nicht fehlen. - SpidxQuantity Indexe NUR der UCUM-kanonischen Wert, und hat absichtlich keine Spalte für das eingegebene Paar. Vergleicht eingegebene Einheiten lässt eine Abfrage für 7500 ug verpassen eine gespeicherte 7,5 mg, und der Fehlschuss ist still - ein leeres Ergebnis liest sich genau so, als hätte der Patient keine solche Beobachtung. Eine Menge die nicht kanonicalisiert werden kann, ist überhaupt nicht indexiert, das ist die ehrliche Ergebnis. - SpidxComposite hält beide Hälften auf einer Reihe. An einem Token-Tisch an einen Mengentabelle auf der Ressource kann "gleiches Element" nicht ausdrücken: ein Blut Druck hat systolische und diastolische Komponenten, und das beitreten würde entsprechen der systolische Code gegen den diastolischen Wert und einen Hypertensive melden Lesen, das wurde nie genommen. - SpidxString hält normalisiert und roh separat, weil passend muss nicht ändern, was angezeigt wird. :enthält Bedürfnisse Trigram passend Yugabyte tut nicht gut; die CapabilityStatement muss es degradieren, anstatt bieten einen Modifikator, der sich zu einem Scan degradiert. - SpidxReference ist absichtlich von fhir_reference_link getrennt. Die Verbindung Tabelle ist der GRAPH, der _inklusive und Verkettung gehen; dies ist der INDEX a einfach Suchfilter an. Sie zu fusionieren macht jede gewöhnliche Suche zahlen für die breiteren Zeilen der Grafik und die doppelte Indexierung. hashIdentity ist ein 64-Bit-Husch von (ResourcenType, paramName) also die führende Schlüssel bleibt schmal und feste Breite. Kollisionen sind harmlos, weil beide Strings werden auch gespeichert - die Behandlung der Hash als maßgeblich wäre die Bug. FhirSearchIndexShapeTest pinnt die Invarianten, deren Verletzung ist still, und ist mutation-erprobt: Re-a-mit dem eingegebenen Wert zu SpidxQuantity und Das Fallenlassen des Reindex-Index von SpidxToken fielen jeweils mit ihren eigenen aus Erklärung vor der Rückführung. ClinicalEntityDisciplineTests Feldscan jetzt geht die Klassenhierarchie zu, so eine Verletzung in einem @MappedSuperclass geparkt Das ist genau dort, wo geteilte Spalten leben - kann sich nicht länger davor verstecken. 1630 Tests grün.
· SecurityService
Senden Sie an AI, gated auf MANAGE_SYSTEM_BUGS
Die Klasse trägt @RequirePlatformRight, so dass der Abfangjäger löst die Anrufer und verweigert, bevor jeder Handler läuft - eine pro-Methode-Prüfung hätte eine vergessene Anmerkung weg von einem Loch, und der Endpunkt erreicht eine Prompts. Die Zugangskontrolle IST die Verteidigung. Modell und Aufwand werden aus einem festen Wortschatz abgebildet, so dass eine Anfrage Körper kann ein anderes Modell ausdrücken und nichts anderes - niemals eine Flagge. Die Prüfungsreihe ist geschrieben und COMMITTED, bevor die dev-Maschine aufgerufen wird, aus ihrer eigenen Bohne: REQUIRES_NEW durch eine Selbst-Berufung ist träge, und eine Zeile, die nur schien auf Erfolg würde die Depeschen fehlen, die hingen. SessionPlatformFacts kommt jetzt aus der gemeinsamen Bibliothek, also MediaService und dieser Service lesen GodModeActive auf die gleiche Weise.
· MediaService
Bug CRUD, Screenshots und die Ein-Sichtbarkeitsregel
Ein Systemfehler überquert die Mietlinie in eine Richtung: die Plattform Organisation sieht jeden Mieter, und kein Mieter sieht die eines anderen. Diese Regel lebt in ************ und nirgendwo sonst, innen entschieden die Abfrage anstatt durch Filterung einer geholten Seite, und geschriebene Long-Hand weil optional.map ein Nullergebnis als EMPTY behandelt. es fiel durch und die Plattform org sah überhaupt nichts. Screenshots sind Img-Reihen unter der neuen Verein SYSTEM_BUG_SCREENSHOT, validiert durch magische Bytes und nicht durch den Inhaltstyp, den der Browser behauptet. MANAGE_SYSTEM_BUGS wird durch den gemeinsam genutzten PlatformRightsResolver aufgelöst und die gemeinsamen SessionPlatformFacts, nie von der Liste der Mieterrechte der Sitzung gestrichen: der Mieter Helfer behandelt GD allein als Bypass, während eine Plattform Recht braucht ein OPEN God-Mode Fenster.
· kamo-shared-library
FHIR-Ressourcenversionierung und das Referenz-Link- Backbone (SP3)
Drei Tabellen, die zwischen ihnen lesen, geantwortet, _Geschichte, ETag und jeder Form von _inklusive Arbeit. fhir_resource_current ist ein Mauszeiger, eine Zeile pro Ressource für immer. Es existiert so ein GET ist eine einzige primäre Schlüsselsuche: die beste Version_id finden stattdessen würde die ganze Geschichte einer Ressource auf jeder gelesen scannen, so dass die meisten geänderte Diagramme - die kranken Patienten - wären die langsamsten zu öffnen. Es ist auch, was macht die Version Zähler sicher, weil behauptet, die nächste Version muss ein UPDATE sein ... RÜCKKEHR als die ERSTE Aussage des Schreibens. Lesung dann Schreiben ist ein Read-after-Write in einer Transaktion, die Yugabyte abbricht mit 40001 unter Last - intermittierend, so dass es sich als zufällige Sackgasse präsentiert dass eine Retry-Schleife zu beheben scheint, ohne zu beheben. fhir_resource_version ist nur angehängt und hält die kanonische JSON als DERIVED-Cache lesen, nicht das System der Aufzeichnung. ProjektorVersion ist darauf weil dieser Cache in dem Moment abgestanden ist, in dem sich der Mapper oder das Profil ändert, und ohne es eine US-Core-Bump still hält die letztjährige Form, bis Zertifizierungsprüfungen finden heraus. Der nur angehängte Wache ist ein Wurf @PreUpdate/@PreRemove, NOT @Column(updatable = false): Hibernate silentlyly lässt eine solche Spalte aus dem UPDATE aus, so dass das Schreiben zu gelingen scheint und Wert ändert sich einfach nicht. Die Datenbank Hälfte ist ein REVOKE in der Migration, weil Entity Callbacks von Bulk JPQL und native SQL umgangen werden. fhir_reference_link ist das einzige Rückgrat für _include, _revinclude, :iterate, angekettete Suche und _hat, in BHBHUR indiziert, weil _include und _revinclude sind entgegengesetzte Scans und keiner der Index dient der andere. sourcePath hält zwei Referenzen auf das gleiche Ziel auseinander . Begegnet Benennung eines Praktikers als Teilnehmer und Teilnahme ist zwei unterschiedliche klinische Ansprüche. Gelöschte Ressourcen behalten ihre Reihen. FHIR benötigt eine gelöschte Ressource zu halten Beantworten von Vread und _Geschichte, und das Entfernen der Zeile würde die logische ID befreien für die Wiederverwendung, still und leise eine neue Ressource an einen alten Prüfpfad anbringen. Das Disziplingeschirr benötigte eine Regel umgeschrieben. everyClinicalEntityExtends TheClinicalBase testete das MECHANISM; es ist jetzt jederClinicalEntityIsTenant Scoped und testet die PROPERTY, die Annahme einer ClinicalBaseEntity Unterklasse oder ein @EmbeddedId, dessen erstes Feld ist PächterId. Die Infrastruktur Tabellen benötigen die zweite Form, weil auf Yugabyte der primäre Schlüssel ist auch die Co-Location-Schlüssel. Beide neuen Regeln sind mutation-besprobt: Stripping der Anhängen-nur Anmerkungen und Nachbestellung der zusammengesetzten Schlüssel jeweils mit ihre eigene Erklärung vor der Umkehr. 1624 testet grün.
· kamo-internal
Zeigen Sie das Foto eines Mitglieds auf der Anzeigetafel, nicht ihre Initialen
Das Gesicht kommt jetzt aus dem gleichen Verzeichnisindex jede andere Mitgliedsliste auf der Plattform liest (UseMemberProfiles), so dass das Bild einer Person auf der Anzeigetafel ist identisch mit ihrem Bild in den Pickern und der Anwesenheitskonsole statt bloß ähnlich. Initialen bleiben als Fallback, mit dem Farbton noch von der Mitglied id so jemand ohne Foto behält eine stabile Identität über Zeiträume. Die Avatar-URL wird absichtlich NICHT zum Scoreboard-Endpunkt hinzugefügt. Eins bauen ist der Job von MemberAvatarUrlService und es lebt in SecurityService: es braucht die avatar Repository, ein JDBC-Lese für die Foto-Erweiterung (ein faul geladener Avatar ist ein Hibernate Proxy, so Instanz von AvatarPhoto ist oft falsch genug, um einen 404) zu dienen und der weitergeleitete Gastgeber. Seine eigene javadoc sagt nicht, um eine weitere Kopie hinzufügen, und eine zweite Die Implementierung in MediaService wäre genau das gewesen. MUI's Avatar anstatt ein img oder Next/Image, speziell für seinen Fallback: es macht die Kinder, wenn das Bild nicht zu LOAD, nicht nur, wenn der src ist abwesend. Das ist der Fall, der tatsächlich passiert - eine Avatar-Reihe kann die Objekt dahinter, so dass eine gut geformte URL 404s und ein handgerollter Img eine gebrochene Bild-Glyph in der Mitte des Brettes. Die 'sm'-Variante, passend zu jeder anderen kleinen Scheibe: zehn Originale heruntergeladen werden gezeichnet bei 20px ist die Art von Abfall, der nur zeigt sich auf jemand anderes getAvatarSizedUrl verlässt einen erzeugten SVG-Avatar. Das Verzeichnis wird nur begehbar, wenn ein Board existiert und nur für die IDs darauf, und der Index ist ein Modul-kopierte Sitzungs-Cache mit diesen anderen Bildschirmen geteilt, so in Praxis dies wird einmal bezahlt, wenn überhaupt.
· SecurityService
Schalten Sie den Workspace Picker ein
Ein Mitglied mehrerer Organisationen wählt nun aus, welche nach ihrem Passwort, anstatt es für sie durch den Hostnamen gewählt. Das ist die Schalter, der eine Organisation ohne eine eigene Domäne erreichbar macht durch die Haustür und nicht nur von / Netz. Erreicht nur auf der Plattform Host. Eine eigene Domain benennt seine Organisation auf seine eigene und überspringt den Picker vollständig, und ein Mitglied von genau einem Organisation ist direkt in ohne zusätzlichen Bildschirm angemeldet . 17 von 53 Benutzern haben mehr als eine Mitgliedschaft, so dass die meisten Sign-Ins unverändert sind. Einmal eingeschaltet und die gleiche Stunde umgedreht: Die Umleitung war relativ und beschlossen, sich anzumelden.<apex"/validieren, kamo-login's eigene validate Seite, die den Einmalschlüssel ausgibt und zum Anmeldebildschirm zurückkehrt. Das wäre haben jede Anmeldung auf dem Plattform-Host gebrochen, nicht nur Multi-Or-Host. Beide Fertigstellungspfade nennen jetzt intern.<apex" explizit (a26b480) und Tests Pin das Ziel. Alles, worauf es anhört, ist live: die geteilte Au und Session/select mit Trial-Start und Verfügbarkeit Parität (604dee2), Kamo-Logo Picker (59e1a7a), kamo-intern nimmt seine Organisation von der Sitzung eher als den Host (97cd4a0b) und die Umleitungsbetätigung.
· SecurityService
Schalten Sie den Workspace Picker ein
Ein Mitglied mehrerer Organisationen wählt nun aus, welche nach ihr Passwort, anstatt es für sie durch den Hostnamen ausgewählt zu haben. Das ist der Schalter, der eine Organisation ohne eine eigene Domäne macht erreichbar durch die Haustür und nicht nur von /Netzwerk. Erreicht nur auf der Plattform Host. Eine benutzerdefinierte Domain Namen seiner Organisation auf seine eigene und überspringt den Picker ganz, und ein Mitglied von genau einem Organisation ist direkt in ohne zusätzlichen Bildschirm angemeldet . 17 von 53 Benutzern haben mehr als eine Mitgliedschaft, so dass die meisten Sign-Ins sind unverändert. Ausgehbar, bis jedes Stück live war: SecurityService Split auth und Sitzung/Select (604dee2, plus der Teststart und Verfügbarkeit Parität in der gleiche Commit), Kamo-login Picker (59e1a7a) und Kamo-interne Einnahme seine Organisation von der Sitzung anstatt des Hosts (97cd4a0b). Turning es auf, bevor kamo-login eine Arbeitsplatzliste darstellen könnte, hätte eine Anmeldeerklärung keine Sitzung, die dieser Client als fehlgeschlagenes Login meldet.
· kamo-internal
Googles OAuth Callback URL auf seiner Registrierungskarte anzeigen
Ein Operator, der die Google Workspace-Registrierung ausfüllte, hatte nichts Aufschlussreiches sie, was in der Google Cloud-Konsole Authorized Redirect URIs setzen, und das Redirect URI-Feld auf der Karte ist nicht die Antwort seine eigene konfigurierte Umleitung und liest diese Spalte nie, also was auch immer getippt wird es ändert nichts. Zeigen Sie stattdessen den echten: Nur lesenswerte, nach und nach, über den Anmeldedaten, und vorgefüllt in die gespeicherte Umleitung, wenn die Zeile leer ist, so dass der Datensatz stimmt mit dem Bildschirm überein. ProviderDef führt es nur für Anbieter, deren Anbieter Callback ist im Code behoben; der Rest halten eine Umleitung, die wirklich ist, was die Operator-Typen.
· SecurityService
Akzeptieren Sie eine explizite Org, nicht nur den Host
Registrierung gebunden das Konto an jede Organisation, die der Host aufgelöst hat zu. Auf register.kamocrm.com - die Anmeldeseite für jede Organisation mit kein Register Host seiner eigenen - das ist die Plattform Organisation, so dass jeder Eine dieser Anmeldungen erstellt das Konto an der falschen Stelle. Eine im Körper benannte Org gewinnt jetzt, durch OrgResolutionService aufgelöst durch id oder Alias, fallen zurück auf den Host-Relaeling genau wie zuvor, wenn keine ist gegeben. Gleiche Form wie der Anmelde-Hinhinweis, und die gleiche Regel: es entscheidet, welche Organisation des Kontos wird unter erstellt, wie der Gastgeber tat, und jedes Tor unten ist es unberührt. Verifiziert auf einem sauberen Klon: 953 Tests bestehen. (Der Arbeitsbaum trägt Die PHI-Arbeit an Bord einer anderen Session, die dort 63 nicht zusammenhängende Tests verfehlt.)
· APIService
Weiter /api/email/oauth/callback zu EmailService
Googles OAuth-Redirect-Ziel. Gleiche Form wie die E-Mail und treffen Anbieter Rückrufe daneben: öffentlich und ohne Session, denn das Popup landet auf diesem Gateway-Ursprung ohne Mieter Sitzung und die Org reist in ?state. Der genaue Weg übertrumpft die /api/E-Mail/** Wildcard auf Muster-Punzifischkeit, so der auth-stripping Callback Forward läuft eher als der gewöhnliche.
· EmailService
Servieren Sie Googles OAuth Callback auf /api/email/oauth/callback
Die Plattform-Konsole benötigt eine Adresse, um einen Operator beim Einrichten der Google Workspace Registrierung, so wie VOIP /api/voip/oauth/callback. Der einzige E-Mail-Rückruf, der existierte, war ************ geteilt von Microsoft 365, Google und Zoho über eine konfigurierte Umleitung. Geben Sie Google seine eigenen, auf dem kürzeren Weg, und lassen Sie die beiden anderen, wo sie sind: eine Umleitung URI lebt in einer Anbieter-Konsole, so dass alle drei würde haben bedeutet, Entra und Zoho neu zu registrieren, um eins zu bewegen. EmailAuthCallbackController ist eine zweite Tür zu ProviderController Rückruf, keine zweite Implementierung - die Ergebnisseite, die Zustanddekodierung und der Token-Austausch bleibt an einem Ort. Die Umleitung wird nun per Anbieter, und weil die Token-Austausch muss wiederholen, was die Autorisierungsanfrage gesendet, der Rückruf liest den Anbieter wieder aus der Staat, es wurde übergeben.
· kamo-register
Marke und Umfang Anmeldung mit ?org=
register.kamocrm.com ist die Anmeldeseite für jede Organisation, die keine hat Registert host of its own, so dass der Hostname nicht sagen kann, welcher ein Besucher ist Anmelden. Es löste alle von ihnen auf die Plattform Organisation, die das falsche Branding gemalt und das Konto an der falschen Stelle erstellt. ?org= benennt die Organisation nach id oder alias. Es wählt das Branding und reist mit der Registrierung als Organisation, die das Konto erstellt wird unter. Ein Hinweis, keine Berechtigung: Der Server löst ihn und jeden Gate bei der Registrierung ist unverändert. Branding kommt von SecurityService's /org/public/{ref&, weitergeleitet als reimplementiert, so dass die Regel darüber, was eine vermutende Referenz kann aussetzen bleibt an einem Ort. Die Themenbasis folgt dann der Organisation, als gegeben - das erste Label fallen lassen, wie sich der Host-Pfad wendet acme.kamocrm.com in kamocrm.com und malen Sie einen Mieter als Plattform. themePath ist memoised, und der erste Render muss vor der Referenz löst, so wird es einmal neu angesehen, sobald Branding landet. Eine Besuchs-Namensgebung keine Organisation klärt eine Referenz einen vorherigen Besuch in diesem Tab aufgezeichnet. Theme.tsx hier ist CRLF und wurde äh-weise bearbeitet, so dass der Diff ist die Zusatz und nichts anderes.
· kamo-shared-library
Die FHIR Datatype-Schicht und ihr Disziplin-Gurter (SP3)
Die Stiftung jede klinische Einheit wiederverwendet, und die Build-Gate, die stoppt es driftet. Beide landen absichtlich zusammen: ein Geschirr, das vorher dort geschrieben wurde ist alles, was Polizei geht vakuum, das ist ein Ausfall-Modus dieser Codebase wurde schon einmal gebissen. ClinicalBaseEntity ist bewusst NICHT BaseUuidEntity. Das man benutzt LocalDateTime und TIMESTAMP und FHIR Instant erfordert einen Offset Plattform bereits einen Fehler ausgeliefert, wo eine LocalDateTime erreichte den Draht mit keine und eine 3:33-März-Nachricht als 10:33 AM. Auf einem klinischen Zeit-Zeitstempel das ist ein Charting-Fehler. Es trägt auch MieterId, die jede führt Index, weil auf Yugabyte die führende Spalte entscheidet sich die Tablette UND ist die Isolationsgarantie: Derselbe Mensch ist in jedem ein anderer Patient Praxis, so dass der Patient nicht die Grenze ist. Die Datentypen tragen die Entscheidungen, die es wert sind, nicht erneut zu verhandeln: - FhirConcept inlines die PRIMARY-Kodierung und sendet den Rest an fhir_coding. Ein reiner Kindertisch würde eine Verbindung auf jeder Beobachtung und Zustand zu zwingen lesen, das ist die meisten der Tabelle. - FhirQuantity speichert das UCUM-kanonische Paar separat, weil Menge Suche vergleicht Größenordnungen. Ohne sie verfehlt eine Abfrage für 7500 ug gespeichert 7,5 mg und liefert ein leeres Ergebnis, das genau liest wie die Patient ohne solche Beobachtung. Ein stiller Fehlschuss auf einem Laborwert ist die Schlimmster Ausfallmodus im Schema. - FhirPeriod hält Präzision, denn ein FHIR-Datum ist ein INTERVAL: 2026, 2026-08 und 2026-08-24 sind unterschiedliche Werte und eq2026 bedeutet das Jahr. - FhirReference ist ein Diskriminator plus eine ID, nie Hibernate @Any, die kann nicht in HQL verbunden oder sinnvoll in einem verteilten Store indiziert werden. - Namen, Adressen und Kontaktstellen sind Kindertische mit eingegebenen, normalisierte und (für Adressen) USPS-standardisierte Formulare getrennt. Passing darf nicht ändern, was angezeigt wird, und Anzeige darf nicht entscheiden was passt. Die vorhandene EmbNameFull, EmbAddress und EmbPhoneNumber kann dies nicht ausdrücken und kann nicht ausgeweitet werden, ohne die CRM-Anrufer zu brechen. Das Geschirr erzwingt durch Reflexion über zusammengestellte Klassen statt einer Quell regex, weil jede Regel über eine Anmerkung VALUE handelt. Es ist Mutation-erwiesen: vier gleichzeitige Verstöße wurden injiziert und alle vier Regeln mit ihren eigenen Erklärungen vor der Rückführung gefeuert. 1623 testet grün.
· SecurityService
Verweigern Sie die KI-Schulung Korpus Exporte für PHI Mieter
ANALYTICS_EXPORT wird blockiert, weil Exporte die Grenze ohne Entidentifikation. Beide Ausbildung Exporte hatten bereits eine scheiterte geschlossene Prüfung es gibt einen Rekord - aber jede Linie trägt die extrahierten CONTENTS von einem Dokument und der Export existiert, um ein Modell auf ihnen zu trainieren. Eine abgedeckte Einheit braucht zuerst einen Safe Harbor- oder Expertenbestimmungspfad, und keiner existiert. QcController.trainingExport ist pro Anstoß. SystemConfigurationController's Plattform Corpus überquert absichtlich jeden Mieter, so dass es verwendet assertPlatformWideVmitted: eine abgedeckte Einheit überall auf dem Einsatz ist genug, um eine undifferenzierte Dump von jedermanns Dokumenten Inhalt zu machen eine Offenlegung. Beide Ablehnungen landen vor dem Repository gelesen und die Prüfung schreiben. HMDA ist absichtlich nicht hier bewacht, es ist eine Hypothek regulatorische Einreichung unter MLOS, kein Analytik-Export. 953 testet grün, darunter zwei neue Ablehnungsfälle.
· MCPGatewayService
Verweigern Sie MCP-Werkzeugausführung für einen Mieter, der PHI behandelt
ausführenTool gibt von Bedienern gelieferte Argumente an eine Operator-getypte URL weiter und kann einen Stdio-Prozess hervorbringen, ohne Belaubungsliste, ohne SSRF-Wächter und ohne Ziel-Audit - so dass die Reihe von Prozessoren kann es erreichen ist grenzenlos und unerkennbar. Deshalb ist MCP_GATEWAY eher BLOCKED_NO_BAA als anhängig Arbeit, und es hatte keinen Durchsetzungspunkt bis jetzt. Der Wächter sitzt in McpServerManager.executeTool und nicht auf dem Controller, vor dem Mietercheck und vor dem Transport. Hinweis: ************ war schon gescheitert vor dieser Änderung und ist nicht verwandt.
· MediaService
Guard Social Messaging und Canva an ihren Referenz Chokepoints
SOCIAL_MESSAGING wird in SocialCredResolver.resolve durchgesetzt - die schmalste Punkt für jeden Adapter und beide Richtungen. Keine Anmeldeinformationen bedeuten nein Telegram, Meta, Instagram, X oder Discord Anruf können überhaupt gemacht werden, inbound Webhook Überprüfung enthalten, da, dass HMACs mit dem gleichen Geheimnis. Keine von diesen vier werden einen BAA um jeden Preis unterzeichnen, so dass keine Technik bewegt es. CANVA wird auf getConnection UND saveConnection durchgesetzt. Nur die Bewachung connect würde eine Org hinterlassen, die bereits verbunden war, als es ein PHI wurde Mieter noch in der Lage, es zu verwenden, und die Lektüre ist, was jede API-Anruf geht durch ein Token zu erhalten. 213 Tests grün.
· kamo-shared-library
Bewachen Sie die letzten vier nicht durchgesetzten Fähigkeiten; die Grundlinie ist jetzt leer
SOZIAL_MESSAGING, CANVA, MCP_GATEWAY und ANALYTICS_EXPORT waren es je außerhalb der Einhaltungsgrenze erklärt, gebunden an keinen ServiceType, und durch nichts überprüft - die Deklaration war die gesamte Kontrolle. Sie waren Basis, wenn PhiCapabilityGuardCallSiteTest zum ersten Mal gefunden; alle vier haben jetzt echte Call-Sites und die Grundlinie ist leer. PhiTenantResolver entfernt die drei Linien, die jeder Dienst ansteuerte duplizieren - die Org laden, die Flagge abbilden, den Wächter fragen, wo Mitte eins falsch ist still: eine fehlende Zeile muss zu UNKNOWN zu lösen, und Wenn man es falsch schreibt, macht einen unauflösbaren Mieter zu einem erlaubten. assertPlatformWidePermitted existiert für Oberflächen ohne einzelne Org, wie ein Korpusexport, der absichtlich jeden Mieter überquert. Fragen der per-org Frage dort würde auf UNKNOWN aus dem falschen Grund zu leugnen und als eine Bug; die Frage, die tatsächlich gilt, ist, ob jeder Mieter PHI behandelt. KNOWN_UNGUARDED wird als leeres Set gehalten, anstatt gelöscht, weil die Mechanismus ist der Punkt: Hinzufügen eines Namens zurück ist möglich, aber absichtlich und sichtbar in der Rezension. 1597 testet grün.
· kamo-shared-library
Rechte, Einrichtungen, Repots und DTOs
MANAGE_SYSTEM_BUGS ist ein PlatformRightType und muss eins bleiben: der Versand. Ein Mieter-Administrator kann die Sicherheitsmodelle seiner eigenen Organisation bearbeiten. Screenshots benötigen keine Tabelle - eine Img-Reihe trägt bereits einen assoc-Typ plus assoc object-ID, und imgs hat keine CHECK-Beschränkung auf assoc_id. Die neue Verband wird von seiner eigenen StorageDomain beansprucht, so dass die Abdeckung Test, dass versagt die Build auf einem ungezählten Upload bleibt zufrieden. SessionPlatformFacts zieht von SecurityService hierher: MediaService jetzt löst auch Plattformrechte, und zwei Leser von godModeActive ist genau das Versagen, vor dem die Klasse warnt.
Euer Universum wartet.
Fügen Sie Produkte hinzu, wann immer Sie möchten – keine Migration, keine neuen Anmeldungen.
Für immer kostenlos – keine Kreditkarte erforderlich