Changelog
Cosa c'è di nuovo.
Ogni miglioramento alla piattaforma, come si spedisce.
· kamo-shared-library
Repository risorse FHIR, con il reclamo versione 40001-safe
reclamoNextVersion è un UPDATE ... SET current version id = current version id + 1 e deve essere la prima dichiarazione di una transazione di scrittura. L'ovvio alternativa — leggere la versione corrente, aggiungere uno, scrivere — è un read-after-write all'interno di una transazione, che YugabyteDB abortisce con SQLSTATE 40001 sotto convalutazione. Non riesce in modo intermittente, quindi presenta come un deadlock casuale, e un loop di riprovazione sembra risolvere durante il fissaggio niente: la retry ha la stessa forma e vince la gara più spesso. L'UPDATE prende anche la serratura e legge in un solo giro, che è uno meno di quello che sostituisce. findClaimedVersion torna nella stessa transazione ed è sicuro nonostante quell'avvertimento, perché l'UPDATE ha già preso il blocco della riga — Yugabyte problema read-restart è circa righe un'altra transazione può muoversi sotto di voi. La ricerca delle risorse restituisce deliberatamente risorse DELETED. Un richiamo deve dire "mai esisteva" (404) da "deleted" (410 Gone), e FHIR richiede un risorse cancellate per continuare a rispondere vread e history; filtrarli qui renderebbe quel livello impossibile. FhirResourceVersionRepository dichiara NO delete and NO update, e un test afferma che non ne guadagna mai uno. L'entità rifiuta sia attraverso @PreRemove/@PreUpdate — ma quelli sono ENTITY CALLBACKs, e un dati di primavera derivato cancella i compilazioni alla rinfusa JPQL che li bypassa completamente. Questo metodo cancellerebbe la storia clinica silenziosamente mentre l'entità propria protezione mai licenziata. Non dichiarare uno è la protezione reale, e che è una decisione che nessun compilatore fa rispettare. Le letture di storia e di riproiezione sono entrambe paginate, perché una modifica attiva grafico accumula le versioni e una lettura non rigata è esattamente dove Fa più male. CondividiLibBeanSafety Il test passa ancora: i repository sono interfacce e no Il fagiolo stereotipo è stato aggiunto alla biblioteca. 1655 test verdi.
· kamo-shared-library
La spina dorsale di incontro (SP5)
L'entità tutto clinico si blocca — una nota, un ordine, una diagnosi e una carica tutto il punto all'incontro in cui sono sorti. I tempi previsti e reali sono coppie di colonne separate, che è entrambi un decisione di compatibilità avanzata e giusto vero. R4 dà un Incontro un solo periodo; R5 e R6 si dividono pianificati dall'effettivo, quindi modellarne uno ora significherebbe riscrivere ogni riga di incontro e ogni domanda di pianificazione quando che atterra. È anche il modo in cui una pratica misura la propria latenza — il divario tra quello che è stato prenotato e quello che è successo è esattamente la cosa che crolla loro scarti. classCode è memorizzato come un codice normale più il suo sistema piuttosto che un incorporato Coding, perché R4 lo tipi come un Coding e R6 cambia; le colonne sopravvivono Entrambi. Non è nemmeno cosmetico: guida il codice posto di servizio sul rivendicazione, e una visita telesalute fatturata come in-persona è una pretesa falsa. la ragione è tenuta a parte la diagnosi. Che cosa ha detto il paziente e che cosa clinico concluso sono fatti diversi, e un grafico che li conflas perde completamente la denuncia di presentazione. EncounterParticipant è un tavolo per bambini perché il caso di supervisione non può essere appiattito: il fornitore di fatturazione su un reclamo è calcolato dal controllo record piuttosto che digitato da un biller, e sotto incidente il ruolo decide se la visita è fatturabile. fisicamente Presente è il suo campo perché un medico supervisione può essere disponibile senza essere nella stanza, e dedurre la presenza dal ruolo sarebbe silenziosamente affermare qualcosa su un reclamo nessuno ha controllato. EncounterDiagnosis.rank è portante e sembra cosmetico. Linee di servizio su un punto di reclamo professionale a diagnosi di POSIZIONE — il puntatore è un indice, non un codice — quindi un ordine memorizzato che non corrisponde al ordine errato ogni linea, e il reclamo è negato o pagato contro una condizione che il paziente non ha. indirizzatoIncontro esiste perché non tutte le diagnosi elencate sono state effettivamente valutate, e il livello E/M è calcolato da quelli che erano; contare la mera presenza lo gonfia. Gli incontri non vengono mai eliminati — uno creato in errore diventa inserito-in-error e soggiorni, perché ordini, note e oneri già riferimento e un riferimento arduo è peggiore di un record visibilmente errato. 1651 test verdi.
· kamo-internal
Dire alle persone un alias web è preso mentre lo stanno digitando
Il wizard di creazione è lungo undici passi e l'alias è stato convalidato solo per FORMAT localmente — se qualcuno già lo ha tenuto è stato scoperto quando il modulo è stato presentato, alla fine, su un'organizzazione che non poteva essere creato. Ora il campo lo dice mentre è ancora sullo schermo. Debounced a 400ms, quindi scrivere una parola è una richiesta. Ogni assegno porta un biglietto e una risposta stante è calata: digitando "acme" poi "acme-2" non deve mai risolvere il verdetto per "acme". Le regole locali — tutte le cifre, e il formato [a-z0-9-]{1,63} — sono controllati prima di qualsiasi richiesta, e sono deliberatamente le stesse regole SecurityService fa rispettare la creazione. Se si allontanano, il campo dice "disponibile" per qualcosa creare poi rifiuta, che è il fallimento che questo rimuove. Sono puri funzioni in modo che un test possa pin loro, e il gancio esegue quelli testati. Un controllo irraggiungibile legge come "non controllare" e lascia che il membro porti su, piuttosto che non aprirsi a "disponibile" e rimetterli dove Hanno iniziato. "Taken" non nomina nessuna organizzazione: il mago non ha affari raccontare a un cliente di un altro. Entrambi gli input alias sono coperti — il percorso web-alias e quello normale. 2943 test e tutte le 8 guardie passano, i18n incluso. Copia atterrata kamo-traduzione-dizionario prima.
· InitializerService
Rendere orgs.alias unica piattaforma
La colonna non è mai stata vincolata. Sopravvivente mentre un alias era solo risolto come (security provider id, alias) dietro un ospite, da due org sotto diversi fornitori potrebbero condividere uno senza ambiguità. Una volta un org può essere chiamato direttamente dal suo alias con ?org=, una ripetizione fa il riferimento ambiguo — il risolutore lo rifiuta piuttosto che indovinare, lasciando BOTH orgs Non raggiungibile da Alias. Applicato al database live, dopo aver rinominato le sei file che si scontrarono (quattro condivisione "acme-corp", due condivisione "kia-kaha", tutti seme lo stesso giorno) con un suffisso numerico. Questo è ciò che dà un ambiente fresco lo stesso indice; il servizio non ha CI, quindi spingendolo non spedisce nulla da solo. In basso (alias), perché l'alias è memorizzato verbatim e Postgres uguaglianza non è caso-insensibile: "Acme-Corp" e "acme-corp" risolvono lo stesso riferimento e deve collidere. Parziale, perché NULL o vuoto significa "no alias" piuttosto che un nome che viene rivendicato, e qualsiasi numero di org potrebbe non averne. Log e continua se non può essere creato, piuttosto che fallire la corsa — che significa che esistono duplicati e i controlli di creazione/aggiornamento rifiutano quelli nuovi indipendentemente.
· SecurityService
Rispondi se un alias web è ancora libero
La procedura guidata org-creation è lunga undici passi e l'alias è stato controllato solo quando il modulo è stato presentato, quindi qualcuno che ha scelto un nome un altro l'organizzazione già tenuta è stato detto alla fine, su un org che potrebbe non essere creato. GET /org/alias-disponibile risponde alla stessa domanda che i percorsi di scrittura applicano — preso globalmente e caso insensibile, o tutte le cifre — così il mago e il server non può essere disaccordo. Se lo facessero, il campo direbbe "disponibile" per qualcosa creare poi rifiuta, che è il fallimento che questo rimuove. Seduta. La risposta è un booleano su un nome che il chiamante ha digitato, che crea gli direbbe comunque, ma non c'è motivo di consegnare un chiamante non autenticato un modo per enumerate quali alias sono in uso. Consulente, non una prenotazione: due persone possono scrivere lo stesso alias una volta ed entrambi essere detto che è libero. L'indice unico e il controllo di creazione risolvere questo; questo limita la finestra a qualcosa che non fa in pratica. Passo 964 test.
· kamo-shared-library
L'entità paziente e i suoi satelliti US Core (SP5)
Una nuova entità piuttosto che un riutilizzo, e ogni rifiuto è concreto piuttosto che stilistico. Non membro: GET /api/security/members/names restituisce ogni membro di un org con NO cancello destro e il endpoint by-id restituisce il nome parti più data di nascita su uno stesso-org controlla da solo, in modo da qualsiasi autenticato la sessione — compresa quella di un altro paziente — avrebbe enumerate il gallo. No. Piombo: è @Inheritance (JOINED), e un grafo fetch in uno di quelli presi /leads down sulla versione Hibernate gran parte della flotta ancora corre. No. Contatto: quelli appartengono alla rubrica personale dell'Utente, che è la di fronte a un paziente appartenente alla pratica. Lo stesso umano è un paziente DIFFERENTE in ogni pratica. Questo è il tenancy limite, non un compromesso — ogni entità coperta detiene il proprio record, MRN e la postura di consenso, e l'identità di pratica trasversale è un problema di corrispondenza il MPI piuttosto che una riga condivisa. Tre concetti di sesso / generazione sono colonne separate perché rispondono diverse domande e una colonna non possono servire tutti e tre. Amministrazioni il sesso è ciò che appare sui documenti; il sesso di nascita è certificato e ricercabile; sessoForClinicalUse è quello che guida intervalli di riferimento e Dosing. Conflarli è come un paziente trans ottiene il riferimento sbagliato gamma su un risultato di laboratorio. partoDate è un localeDate deliberatamente — una data di nascita non ha tempo e nessun zona, e dare uno sposta attraverso la linea di data per chiunque Viaggi. Ecco perché l'imbracatura disciplina vieta localDateTime piuttosto che tutti i tipi locali. partoDateLa precisione è lì perché un paziente che conosce solo il loro anno di nascita è comune, e memorizzare che a partire dal 1 gennaio poi la corrispondenza alla data esatta silenziosamente non riesce a trovarli. Gara e etnia sono un tavolo per bambini perché una persona può segnalare diversi e una singola colonna costringe qualcuno di patrimonio misto in qualsiasi scatola E' successo che il codice rimanga. Essi alimentano misure di qualità e segnalazione di disparità, in modo che non sono decorazione demografica — e selfReported defaults true perché sono registrati da ciò che un paziente ha detto, non rinviato. La lingua porta l'interprete richiesto come fatto indipendente: un paziente può preferiscono lo spagnolo e decoder un interprete, e inferring uno dall'altro è sbagliato in entrambe le direzioni. La sezione 1557 si accende entrambi. mezzi attivi "questo record è in uso", NON ammorbidito e fusoInto plus mergedAt esiste perché l'unica fusione esistente della piattaforma è a senso unico nessun'emergenza — e la fusione dei due pazienti sbagliati è tra i più dannosi errori che una pratica può fare. contactId mantiene il link CRM così l'attribuzione di acquisizione segue una persona dalla prima richiesta nel grafico. Nessuno standalone EHR può farlo, perché non ha nessuno prima che abbia un paziente. 1651 test verdi.
· kamo-shared-library
The disclosure ledger and patient restrictions (SP2)
DisclosureLedger is separate from phi_access_log on purpose. The access log records every READ, and most reads are a clinician opening a chart; deriving an accounting from it hands the patient a document listing thousands of internal views, which is both wrong and alarming. §164.528 accounts for DISCLOSURES — PHI leaving the covered entity — not internal use. The two also cover different periods and different purposes, which is why purposeOfUse is stamped at access time and carried here rather than inferred later. hipaaAccountable is stored rather than derived from the purpose on read, because the rule has exceptions the purpose alone does not capture — a disclosure the patient authorized is accounted differently from one made under a treatment exception — and recomputing it later means re-deriving those exceptions from data that no longer exists. PatientRestriction carries the §164.522 obligation a covered entity may NOT refuse: a patient who pays out of pocket in full can require that the service not be disclosed to their plan. That is the one usually implemented wrong, because hiding the encounter on a screen does not comply. It has to stay out of CLAIM SUBMISSION and out of ELIGIBILITY ENQUIRIES, since both tell the plan the service happened. A system that hides it in the chart and bills it anyway has disclosed exactly what the patient paid to prevent, and they find out from their explanation of benefits. So suppressFromClaims is its own flag checked by the billing path, not inferred from a display rule — display rules get relaxed for usability and a billing suppression must not travel with them. suppressFromEligibility is separate again, because a 270 asking a plan about a service signals the service is contemplated; suppressing the claim alone leaks the same fact more quietly. Both tables close rows rather than deleting them. A lifted restriction still explains why a service went unbilled for six months, and the ledger is append-only because an accounting that can be edited is not an accounting. Temporal boundaries are exclusive at the end instant and the tests pin both directions, including that an incomplete row denies rather than throwing — this predicate sits on the billing path. 1653 tests green.
· kamo-shared-library
Rapporti di cura e vetro di rottura, i fatti dietro la base di accesso (SP2)
PhiAccessBasis ha guadagnato CARE TEAM e BREAK GLASS ultimo commit; senza questi due tavoli quei valori sono decorativi. Niente sulla piattaforma modellato un rapporto fornitore-paziente a tutti — l'indagine non ha trovato tale unione ovunque — così l'autorizzazione potrebbe solo rispondere "possono questa persona leggere i grafici", che ogni clinico in una pratica può. La domanda minima necessaria si accende è se possono leggere questo. CareRelationship è un FACT persisted, deliberatamente non un RoleRightType, e ogni motivo morde da solo. I diritti sono istantanei in *** al login, quindi una revoca non raggiungerebbe una sessione dal vivo — un rapporto concluso deve smettere di concedere l'accesso ora. Un nuovo diritto arriva silenziosamente GRANTED per la sovvenzione-tutti ruoli di amministratore, che è catastrofico per qualcosa destinato ad essere per paziente. E checkRight() restituisce vero per tutto sotto la modalità dio, mentre una relazione esiste o non esiste. Le righe sono chiuse con validTo, mai cancellate. "Esse questa persona sulla cura squadra quando hanno aperto il grafico lo scorso marzo" non può essere risposto da oggi team di assistenza, e questo è esattamente ciò che chiede una recensione di accesso. BreakGlassGrant esiste perché rifiutarsi di costruire non è la scelta sicura. Un paziente arriva inconscio e il medico curante non è in nessun team di assistenza Tuttavia, un sistema che dice di no è una gente che lavora intorno, e la soluzione è un login condiviso. Il controllo non è prevenzione — è che l'accesso è stretto, dichiarato, time-boxed e READ AFTERWARDS. La ragione è testo libero e richiesto, perché il suo valore è che un umano lo ha scritto e un altro umano legge esso; una discesa viene cliccato senza leggere. Deliberatamente non la modalità dio: cioè la piattaforma-staff break-glass, di proprietà del server. Routing delle emergenze cliniche di un'entità coperta attraverso il fornitore di Kamo backdoor è quello che controlla un recensore BAA non passerà oltre. Entrambi i predicati temporali trattano il loro istante finale come EXCLUSIVE, e i test pin il confine in entrambe le direzioni — una fine inclusiva si estende silenziosamente ogni fine relazione e ogni scaduto override da una zecca, e né fallimento solleva tutto. 1644 test verdi.
· InitializerService
Rimettere inquilino id davanti ai tasti delle risorse cliniche
ddl-auto costruito PRIMARY KEY (logical id, risorsa type, inquilino id) su fhir resource current e fhir resource version, perché Hibernate emette Le colonne @EmbeddedId in ordine alfabetico piuttosto che in ordine di dichiarazione. Su YugabyteDB la prima colonna di chiavi primarie decide l'hash shard, così leader con un UUID distribuisce l'intero grafico di una pratica su ogni compressa e trasforma ogni lettura in un cross-node fan-out — l'esatto opposto del perché Esiste una chiave composita. Ricrea piuttosto che ALTER: cambiare una chiave primaria è una riscrittura del tavolo e Il supporto di Yugabyte è limitato. Entrambi i tavoli sono nuovi e vuoto quindi questo è esatto e a buon mercato, e il corridore REFUSES per toccare un tabella che tiene righe — a quel punto la mossa giusta è una migrazione pianificata con una copia dei dati, e scoprire che da una riga di registro batte scoprire dai grafici mancanti. Idemponte, e verifica contro pg constraint piuttosto che assumere: una volta la chiave è giusta ispezioni, accetta e non fa nulla. Eccezioni sono catturate per tavolo, perché un tiro sfuggire un corridore silenziosamente tiene ogni corridore ordinato dopo.
· kamo-internal
Aggiungere la scheda Bug di sistema
I membri segnalano difetti nella piattaforma con screenshot e i siti che essi la macchina dev. Un inquilino vede solo i bug della propria organizzazione e la piattaforma organizzazione vede ogni inquilino - deciso lato server, quindi la console non ha mai uno scopo proprio per sbagliarsi. MANAGE SYSTEM BUGS è una piattaforma destra e porta un'AZIONE piuttosto che una scheda di configurazione, che è quello che la test di copertura superficiale ora registra. Lo screenshot dropzone prende una pasta così come una resistenza o un clic, perché uno screenshot è quasi sempre già sul clipboard dal momento che qualcuno siede per denunciarne uno. Invia a AI controlla se la macchina dev può prendere una spedizione PRIMA operatore scrive qualcosa, e mantiene il testo su un guasto piuttosto che facendoli scrivere due volte. Modello e sforzo vengono inviati come nomi; la console non costruisce mai una bandiera.
· kamo-shared-library
Etichette di sicurezza DS4P, applicate a tempo di scrittura (SP2)
La proiezione indicizzata del meta di una risorsa. etichette di sicurezza, e la cosa che deve esistere prima del primo percorso di lettura clinica piuttosto che dopo primo cliente comportamentale-sano. Applicato in tempo WRITE, mai calcolato in tempo di lettura, per un meccanico ragione: un'etichetta derivata al tempo di lettura deve essere derivata da ogni percorso di lettura indipendentemente — Ricerca FHIR, il portale, generazione C-CDA, il TEFCA rispondere, Bulk esportazione, domanda di presentazione — e quello che dimentica è il uno che perde. Scritto una volta accanto alla risorsa, è un singolo predicato ogni percorso condivide. Indicizzato piuttosto che vivere solo all'interno della risorsa JSON, perché segmentazione è un FILTER su ogni query clinica. Un'etichetta del database non può vedere significa filtrare nel codice dell'applicazione dopo che le righe sono caricate, che è sia lenta che esattamente la forma che perde sotto impaginazione. labelKind esiste perché i quattro tipi sono applicati in modo diverso e devono non essere paragonato come una borsa. Un livello di riservatezza è un massimale su chi può leggere; un codice di sensibilità dice quale consenso si applica; una politica di rifrazione è un istruzioni al RECIPIENT che viaggia con una divulgazione. Trattare un rifrangere il codice come filtro letto non blocca nulla; trattando un codice di sensibilità come uno blocca tutto. pazienteId è denormalizzato perché un controllo del consenso chiede cosa è limitato per questo paziente, e a piedi da ogni risorsa etichettata di nuovo alla sua soggetto sarebbe una unione per fila sul percorso caldo di ogni lettura clinica. manualmenteAssigned è lì in modo che un rietichetta automatizzata non può sovrascrivere silenziosamente una restrizione esplicita del medico, e assegnatoReason così "che ha deciso questo nota è Parte 2 dati" ha una risposta che non è "il sistema ha fatto" - necessario sia per difendere una restrizione e per sollevare uno applicato in errore. Urgente piuttosto che teorico: 42 CFR Data di conformità della parte 2 Il 16 febbraio 2026 e l'OCR aprirono l'applicazione civile il 13. Il 2024 regola rilassata segregazione fisica ma tenuto il avviso di ridisclosure e la l'uso in procedimenti legali, quindi la prova della seconda parte deve ancora essere etichettato e deve sopravvivere a valle.
· kamo-shared-library
Estendere la colonna vertebrale di audit per la contabilità clinica (SP2)
Quattro campi i percorsi di lettura clinica non possono funzionare senza, e nessuno dei quali può essere riempito — ogni record qualcosa solo sabile al momento del accesso. scopoOfUse è quello che più conta, perché TWO diverso legale i rapporti sono costruiti dalle stesse righe e non sono d'accordo. §164.528 — HIPAA, esame semestrale — trattamento, pagamento e operazioni EXCLUDES. 42 CFR §2.25 — Parte 2, lookback di tre anni attraverso un EHR, dal 16 febbraio 2026 — INCLUDE. Una fila senza scopo non appartiene né e non può essere assegnato a uno dopo; derivandolo dal percorso di richiesta in seguito è indovinare, e l'output è un documento legale consegnato a un paziente. Over-reporting li allarmi sulle rivelazioni che non è mai successo, sotto-reporting è una violazione, e non solleva un'eccezione. pazienteCompartmentId NON è risorsaId. Il record sensibile è di solito un Osservazione o una nota il cui id non dice nulla sul cui grafico è, quindi senza di essa la questione letterale §164.528 — tutto mai visto su questo paziente — non ha predicato e diventa una scansione completa del tavolo più grande su la piattaforma. Si ottiene un indice, e questo è un commercio dichiarato piuttosto che un vittoria libera: su Yugabyte ogni indice secondario è una tabella distribuita separata, così un inserto di audit diventa cinque scritti distribuiti piuttosto che quattro. The lo scrittore lotto lo assorbe; una scansione completa contro un orologio legale di 60 giorni fa Non assorbono niente. accessBasis record su ciò che AUTHORITY il chiamante ha raggiunto il record, come Distinta dal perche' lo volevano. "Aperto questo grafico per il trattamento" è inosservabile; "ha aperto questo grafico per il trattamento e non è nella squadra di cura" è la ricerca di una recensione insider-threat esiste in superficie. Se qualcuno era in una squadra di assistenza sei mesi fa non è rispondebile dal team di assistenza di oggi tavolo, così è timbrato ora o è andato. Diciannove tipi di risorse cliniche allegate, dal nome della loro risorsa FHIR tipi in modo da una riga di audit, una proiezione AuditEvent e una comunicazione TEFCA record tutti dicono la stessa parola. Sicuro da aggiungere senza migrazione: la colonna è VARCHAR(40) senza CHECK — e un perno di prova che ogni nome si adatta ancora, perché un nome oversize non riesce a inserire, che per un tipo non chiuso significa rifiutare il letto stesso. Ogni campo è nulla, quindi tutte le righe esistenti e ogni chiamante non-clinico non sono interessati. 1636 test verdi.
· kamo-shared-library
Le otto tabelle indici di ricerca digitate (SP3)
La ricerca si basa su tabelle di tipo esplicito, non su JSONB con GIN. Questo è forzato dal database, non scelto: i propri documenti di Yugabyte affermano che un indice GIN non può utilizzare più di una voce di scansione richiesta, GIN multicolonna non è supportato, solo IndexScan è disponibile, e UPDATE è DELETE + INSERT. Il singolo query US Core manda la maggior parte — Osservazione per paziente E categoria — è due le voci di scansione richieste, quindi un server JSONB-primary sarebbe più lento esattamente quali prove di certificazione. Ogni tabella esiste perché il suo tipo ha una modalità di fallimento gli altri non: SpidxDate memorizza un INTERVAL, perché una data FHIR è una. 2026, 2026-08 e 2026-08-24 sono valori diversi ed eq2026 significa tutto l'anno. A un singolo istante li collassa e poi silenziosamente non riesce a corrispondere, quindi un data di nascita registrata come un anno non si trova da una ricerca per quell'anno. A null high significa STILL RUNNING, non mancante. - SpidxQuantity indici SOLO il valore cannonico UCUM, e deliberatamente ha nessuna colonna per la coppia inserita. Comparazione delle unità inserite permette una query per 7500 ug miss un immagazzinato 7,5 mg, e la signorina è silenziosa — un risultato vuoto legge esattamente come il paziente che non ha una tale osservazione. Una quantità che non può essere canonizzato non è affatto indicizzato, che è l'onesta esito. - SpidxComposite tiene entrambe le metà su una riga. Unire un tavolo di token a un tabella di quantità sulla risorsa non può esprimere "stesso elemento": un sangue la pressione ha componenti sistolici e diastolici, e che si abbinano il codice sistolico contro il valore diastolico e segnalare un ipertensivo lettura che non è mai stata presa. - SpidxString mantiene normalizzato e crudo separatamente, perché l'abbinamento deve non cambiare ciò che viene visualizzato. :contiene le esigenze del trigramma corrispondente a Yugabyte non fa bene; il CapabilityStatement deve decoder piuttosto che offrire un modificatore che si degrada a una scansione. - SpidxReference è separato da fhir reference link di proposito. Il link il tavolo è il GRAFICO che includi e incatena la passeggiata; questo è l' INDICE a filtri di ricerca su. Merging li fa ogni paga di ricerca ordinaria per le righe più ampie del grafico e la doppia indicizzazione. hashIdentity è un hash a 64 bit di (resourceType, paramName) così il leader chiave rimane stretta e larghezza fissa. Le collisioni sono innocue perché entrambe le stringhe sono anche memorizzate — il trattamento dell'hash come autorevole sarebbe il bug. FhirSearchIndexShapeTest pins gli invarianti la cui violazione è silenziosa, e è la mutazione-proven: ri-aggiungere il valore inserito a SpidxQuantity e cadere l'indice di reindex da SpidxToken ogni fallito con il proprio spiegazione prima della deviazione. ClinicalEntityDisciplineTest scansione campo ora cammina anche la gerarchia di classe, quindi una violazione parcheggiata in un @MappedSuperclass — che è esattamente dove vivono le colonne condivise — non può più nascondersi da esso. 1630 test verdi.
· SecurityService
Inviare a AI, gated su MANAGE SYSTEM BUGS
La classe trasporta @RequirePlatformRight, quindi l'intercettore risolve il chiamante e rifiuta prima di qualsiasi operazione del gestore — un controllo per-metodo avrebbe è stato un annotazione dimenticato lontano da un buco, e il punto finale raggiunge un Pronti. Il controllo di accesso è la difesa. Modello e sforzo sono mappati da un vocabolario fisso, quindi un corpo di richiesta può esprimere un modello diverso e nient'altro — mai una bandiera. La riga di audit è scritto e COMITATO prima che la macchina dev sia chiamata, dal proprio fagiolo: REQUIRES NEW attraverso un'autoinvocazione è inerte, e una fila che solo comparso sul successo sarebbe mancare le spedizioni che hanno appeso. SessionPlatformFacts viene ora dalla libreria condivisa, quindi MediaService e questo servizio legge GodModeActive allo stesso modo.
· MediaService
Bug CRUD, screenshot e l'unica regola di visibilità
Un bug di sistema attraversa la linea di tenancy in una direzione: la piattaforma l'organizzazione vede ogni inquilino, e nessun inquilino vede l'altro. Questa regola vive in... e in nessun altro posto, deciso dentro. la query piuttosto che filtrare una pagina fetched, e scritto a mano lunga perché Optional.map tratta un risultato nullo come EMPTY — come mappa(...).orElse(-1L) è caduto attraverso e la piattaforma org non ha visto nulla affatto. Le immagini sono file Img sotto la nuova associazione SYSTEM BUG SCREENSHOT, convalidato da byte magiche piuttosto che dal tipo di contenuto che il browser sostiene. MANAGE SYSTEM BUGS viene risolto attraverso la piattaforma condivisaResolver e la SessionPlatformFacts condivisa, mai fuori la lista dei diritti inquilini della sessione: l'inquilino aiutante tratta GD da solo come un bypass, mentre una piattaforma giusta ha bisogno una finestra di Dio OPEN-mode.
· kamo-shared-library
FHIR versione delle risorse e la spina dorsale di riferimento (SP3)
Tre tavoli che tra loro fanno leggere, vread, history, ETag e ogni forma di include lavoro. fhir resource current è un puntatore, una riga per risorsa per sempre. Esiste così un GET è un unico look-key primario: trovare la versione più alta id invece avrebbe scansionato tutta la storia di una risorsa su ogni lettura, quindi il più grafici modificati — i pazienti malati — sarebbe il più lento da aprire. È anche quello che rende la versione contro sicuro, perché rivendicare la prossima versione deve essere un UPDATE ... RETURNING come la prima dichiarazione della scrittura. Lettura poi la scrittura è una lettura dopo-scrittura in una transazione, che Yugabyte aborti con 40001 sotto carico — intermittentemente, quindi presenta come un deadlock casuale che un loop di riprovazione sembra fissare senza fissare. fhir resource version è append-only e detiene il JSON canonico come un DERIVED leggere la cache, non il sistema di record. proiettoreVersione è su di esso perché quella cache va stante nel momento in cui il mapper o il profilo cambia, e senza di esso un urto US Core silenziosamente continua a servire la forma dello scorso anno fino i test di certificazione lo scopriranno. La sola guardia dell'append è un lancio @PreUpdate/@PreRemove, NON @Column(updatable = falso): Hibernate silenziosamente omette tale colonna dall'UPDATE, quindi la scrittura sembra avere successo e la il valore non cambia. La metà del database è un REVOKE nella migrazione, perché i callback dell'entità sono bypassati dalla massa JPQL e da SQL nativo. fhir reference link è la spina dorsale singola per include, revinclude, :iterate, ricerca incatenata e has, indicizzato in BOTH perché include e revinclude sono scansioni opposte e né indice serve il altri. fontePath mantiene due riferimenti allo stesso obiettivo a parte — un Encounter nominare un professionista come entrambi i partecipanti e partecipare è due diverse rivendicazioni cliniche. Le risorse cancellate tengono le loro file. FHIR richiede una risorsa cancellata per mantenere rispondere vread e history, e rimuovere la riga sarebbe liberare il id logico per il riutilizzo, reattaccando silenziosamente una nuova risorsa a un vecchio percorso di audit. L'imbracatura della disciplina aveva bisogno di una regola riscritta. ogniClinicalEntityExtends TheClinicalBase ha testato il MECHANISM; è ora ogniEntità clinica IsTenant Scoperto e testare la PROPRIETÀ, accettando o una ClinicalBaseEntity sottoclasse o un @EmbeddedId il cui primo campo è inquiantId. L'infrastruttura i tavoli hanno bisogno della seconda forma perché su Yugabyte la chiave primaria è anche la chiave di co-location. Entrambe le nuove regole sono mutazioni-proven: spogliare solo le annotazioni dell'append e riordinare la chiave composita ogni fallito con la loro spiegazione prima del ritorno. 1624 test verdi.
· kamo-internal
Mostra la foto di un membro sul tabellone, non le loro iniziali
Il volto viene ora dallo stesso indice di directory ogni altro elenco membro sulla piattaforma legge (useMemberProfiles), quindi l'immagine di una persona sul tabellone è identico alla loro immagine nei raccoglitori e la console di frequenza piuttosto che Semplicemente simile. Le iniziali rimangono come il fallback, con la tonalità ancora derivata membro in modo che qualcuno senza foto mantiene un'identità stabile attraverso i periodi. L'URL di avatar non è volutamente aggiunto al punto finale del tabellone. Costruire uno è il lavoro di MemberAvatarUrlService e vive in SecurityService: ha bisogno del avatar repository, un JDBC letto per l'estensione foto (un Avatar carico lazily è un proxy Hibernate, quindi istanza di AvatarPhoto è abbastanza falso spesso per servire un 404) e l'ospite inoltrato. Il suo javadoc dice di non aggiungere un'altra copia, e un secondo l'implementazione in MediaService sarebbe stato esattamente quello. Avatar di MUI piuttosto che un img o successivo/immagine, in particolare per la sua ricaduta: rende i bambini quando l'immagine non riesce a LOAD, non solo quando lo src è assente. Questo è il caso che realmente accade — una fila di avatar può sopravvivere oggetto dietro di esso, così un URL ben formato 404s e un img laminato a mano lascerebbe un Glifo infranto in mezzo al consiglio. La variante 'sm', abbinando ogni altro piccolo disco: dieci originali scaricati per essere disegnato a 20px è il tipo di rifiuti che si presenta solo su qualcun altro connessione. getAvatarSizedUrl lascia un avatar SVG generato da solo. La directory è camminata solo una volta che una scheda esiste e solo per gli ids su di esso, e l'indice è una cache di sessione a schermo modulo condivisa con quegli altri schermi, quindi in pratica questo viene pagato una volta per niente.
· SecurityService
Accendere il raccoglitore dello spazio di lavoro
Un membro di diverse organizzazioni ora sceglie quale aprire dopo la loro password, invece di essere scelto per loro dal nome host. Questo è interruttore che rende un'organizzazione senza un dominio del proprio raggiungibile attraverso la porta principale piuttosto che solo da /network. Raggiungibile solo sull'host della piattaforma. Un dominio personalizzato nomina la sua organizzazione da solo e salta il picker completamente, e un membro di esattamente uno organizzazione è firmata direttamente con nessun schermo aggiuntivo — 17 di 53 utenti hanno più di un membro, quindi la maggior parte dei sign-in sono invariati. Acceso una volta prima e ritorto la stessa ora: il reindirizzamento era relativo e ha deciso di effettuare il login. che passa la chiave di una volta e ritorna alla schermata di accesso. Questo è il caso hanno rotto ogni segnale sul gestore della piattaforma, non solo multi-org. Entrambi i percorsi di completamento ora nominano interno. I test indicano la destinazione. Tutto ciò che dipende è dal vivo: lo spaccato auth e la sessione/seleziona con prova-start e disponibilità parity (604dee2), picker di kamo-login (59e1a7a), kamo-internal prendendo la sua organizzazione dalla sessione piuttosto che l'host (97cd4a0b), e la correzione di reindirizzamento.
· SecurityService
Accendere il raccoglitore dello spazio di lavoro
Un membro di diverse organizzazioni ora sceglie quale aprire dopo la loro password, invece di averlo scelto per loro dal nome host. Questo è l'interruttore che fa un'organizzazione senza un dominio raggiungibile attraverso la porta principale piuttosto che solo da /network. Raggiungibile solo sull'host della piattaforma. Un dominio personalizzato nomina la sua organizzazione da solo e salta il picker completamente, e un membro di esattamente uno organizzazione è firmata direttamente con nessun schermo aggiuntivo — 17 di 53 utenti hanno più di un membro, quindi la maggior parte dei sign-in sono invariati. Tenuto fuori fino a quando ogni pezzo era vivo: il SecurityService è diviso auth e sessione/seletto (604dee2, più la parità di prova-avviamento e disponibilità in lo stesso commit), il picker di kamo-login (59e1a7a), e l'assunzione di kamo-internal la sua organizzazione dalla sessione piuttosto che l'host (97cd4a0b). Girare su prima kamo-login potrebbe rendere un elenco workspace avrebbe mostrato sign-in non ritorno sessione, che quel client segnala come un login fallito.
· kamo-internal
Mostra l'URL di callback di Google sulla sua scheda di registrazione
Un operatore che riempie la registrazione di Google Workspace non aveva nulla da dire loro cosa inserire gli URI rediretti autorizzati della console di Google Cloud, e il campo URI Redirect sulla scheda non è la risposta — Riproduci EmailService il suo redirect configurato e non legge mai quella colonna, quindi qualsiasi cosa è digitata non cambia nulla. Mostra invece quello reale: in sola lettura, copiabile, sopra i campi delle credenziali, e preriempita nel reindirizzamento memorizzato quando la riga è vuota così il record concorda con lo schermo. ProviderDef lo trasporta solo per i fornitori il cui callback è fissato in codice; il resto mantiene un reindirizzamento che veramente è qualsiasi i tipi di operatore.
· SecurityService
Accettare un org esplicito, non solo l'host
Registrazione legata al conto a qualsiasi organizzazione l'host risolto a. Su Register.kamocrm.com — la pagina di iscrizione per ogni organizzazione con nessun host del proprio registro — cioè l'organizzazione della piattaforma, così ogni uno di quei registri ha creato l'account nel posto sbagliato. Un org chiamato nel corpo ora vince, risolto attraverso OrgResolutionService da id o alias, rientrando alla ricerca host esattamente come prima quando nessuno è dato. Stessa forma del segno-in, e la stessa regola: decide quale organizzazione il conto è creato sotto, come l'host ha fatto, e ogni cancello sotto è intatto. Verificato su un clone pulito: passano 953 test. (L'albero di lavoro trasporta un'altra sessione è in volo lavoro PHI, che manca 63 test non correlati lì.)
· APIService
Avanti /api/email/oauth/callback a EmailService
Obiettivo di reindirizzamento di Google OAuth. Stessa forma dell'email e del fornitore di incontrare callbacks accanto a esso: pubblico e senza sessione, perché il popup atterra su questo origine gateway senza inquilino sessione e l'org viaggia in ?state. Il percorso esatto supera il /api/email/** jolly sulla specificità del modello, quindi il callback auth-stripping avanti corre piuttosto che quello ordinario.
· EmailService
Servire il callback di Google su /api/email/oauth/callback
La console della piattaforma ha bisogno di un indirizzo per mostrare un operatore che imposta Google Workspace registrazione, il modo in cui VOIP ha /api/voip/oauth/callback. L'unica e-mail che esisteva era... condiviso da Microsoft 365, Google e Zoho attraverso un reindirizzamento configurato. Dare a Google il proprio, sul percorso più breve, e lasciare gli altri due dove essi sono: un URI redirect vive in una console del fornitore, quindi rinominare tutti e tre hanno significato re-registrare Entra e Zoho per spostarne uno. EmailOAuthCallbackController è una seconda porta su ProviderController's callback, non una seconda implementazione — la pagina di risultato, la decodifica dello stato e lo scambio di token soggiorno in un posto. Il reindirizzamento è ora scelto per fornitore, e perché lo scambio di token deve rigiocare qualsiasi cosa richiesta di autorizzazione inviata, il callback legge il fornitore di nuovo dal che è stato consegnato.
· kamo-register
Firma di marca e portata con ?org=
register.kamocrm.com è la pagina di registrazione per ogni organizzazione che non ha registrazione host del proprio, quindi il nome host non può dire quale un visitatore è a cui iscriversi. Esso li ha risolti tutti all'organizzazione della piattaforma — che ha dipinto il marchio sbagliato, e ha creato il conto nel posto sbagliato. ?org= nomina l'organizzazione da id o alias. Seleziona il branding e viaggia con la registrazione come l'organizzazione il conto è creato sotto. Un accenno, non un'autorizzazione: il server lo ri-risolve e ogni il cancello sulla registrazione è invariato. Branding proviene da SecurityService's /org/public/{ref}, relè piuttosto che reimplementato in modo che la regola su ciò che un riferimento indovinabile può esporre rimane in un posto. La base tematica segue quindi l'organizzazione, utilizzata come dato — lasciando la sua prima etichetta il modo in cui il percorso ospite si volge acme.kamocrm.com in kamocrm.com e dipingere un inquilino come la piattaforma. temaPath è memoizzato, e il primo render funziona necessariamente prima il riferimento si risolve, quindi è ricomputato una volta branding terre. Un nome di visita nessuna organizzazione cancella qualsiasi riferimento una visita precedente registrata in questa scheda. Theme.tsx qui è CRLF ed è stato modificato byte-wise, quindi il diff è il aggiunta e nient'altro.
· kamo-shared-library
Lo strato di tipo dati FHIR e la sua imbracatura disciplina (SP3)
La fondazione ogni entità clinica riutilizza, e il cancello di costruzione che ferma E' alla deriva. Entrambi i terreni insieme di proposito: un'imbracatura scritta prima di lì è qualcosa che la polizia passa vacuamente, che è una modalità di fallimento questo codebase è stato morso prima. ClinicalBaseEntity non è volutamente BaseUuidEntity. Quello che si usa LocalDateTime e TIMESTAMP, e FHIR istantaneo richiede un offset — questo piattaforma già spedito un bug dove un LocalDateTime ha raggiunto il filo con nessuno e un messaggio 3:33 AM reso come 10:33 AM. Su un timestamp clinico che è un errore di charting. Porta anche inquilino, che conduce ogni indice perché su Yugabyte la colonna principale decide il tablet E è il garanzia di isolamento: lo stesso umano è un paziente diverso in ogni pratica, quindi il paziente non è il confine. I tipi di dati portano le decisioni che meritano di non ri-litigare: - FhirConcept inlinea la codifica PRIMARY e invia il resto a fhir coding. Un tavolo da bambino puro costringerebbe ad unirsi ad ogni Osservazione e Condizione leggere, che è la maggior parte del grafico. - FhirQuantity memorizza la coppia UCUM-canonical separatamente, perché quantità la ricerca confronta le magnitudine. Senza di esso una query per 7500 ug manca immagazzinato 7,5 mg e restituisce un risultato vuoto che legge esattamente come il paziente che non ha una tale osservazione. Una silenziosa miss su un valore di laboratorio è peggior modo di fallimento nello schema. - FhirPeriod mantiene la precisione, perché una data FHIR è un INTERVALE: 2026, 2026-08 e 2026-08-24 sono valori diversi eq2026 significa l'anno. - FhirReference è un discriminatore più un id, mai Hibernate @Any, che non può essere raggiunto in HQL o indicizzato in modo utile su un negozio distribuito. - I nomi, gli indirizzi e i punti di contatto sono le tabelle dei bambini in possesso, moduli normalizzati e (per indirizzi) standardizzati USPS separatamente. La corrispondenza non deve cambiare ciò che viene visualizzato e il display non deve decidere che corrisponde. L'EmbNameFull esistente, EmbAddress e EmbPhoneNumber non può esprimere questo e non può essere ampliato senza rompere i chiamanti CRM. L'imbracatura fa rispettare la riflessione sulle classi compilate piuttosto che su una fonte regex, perché ogni regola è circa un annotazione VALUE. È mutazione-proven: sono state iniettate quattro violazioni simultanee e tutte e quattro regole licenziate con le loro spiegazioni prima della deviazione. 1623 test verdi.
· SecurityService
Rifiutare le esportazioni del corpo di formazione AI per gli inquilini PHI
ANALYTICS EXPORT è bloccato perché le esportazioni lasciano il confine senza de-identificazione. Entrambe le esportazioni di formazione hanno già avuto un controllo non chiuso — c'è un record — ma ogni linea porta i CONTENUTI estratti di un documento e l'esportazione esiste per formare un modello su di loro. Un'entità coperta ha bisogno di un percorso Safe Harbor o Expert Determination prima, e non esiste. QcController.trainingExport è per-org. SystemConfigurationController's piattaforma corpus deliberatamente attraversa ogni inquilino, quindi utilizza assertPlatformWidePermesso: una persona coperta ovunque sull'implementazione basta fare una discarica indifferenziata del contenuto di tutti i documenti una rivelazione. Entrambi i rifiuti atterrano davanti al deposito letto e l'audit scrive. HMDA non è deliberatamente sorvegliato qui — è un deposito regolamentare ipotecario sotto MLOS, non un'esportazione di analisi. 953 test green, compresi due nuovi casi di rifiuto.
· MCPGatewayService
Rifiutare l'esecuzione dello strumento MCP per un inquilino che gestisce PHI
eseguiTool inoltra argomenti forniti dall'operatore a un URL di tipo operatore e può deporre un processo di stdio, senza permesso, senza guardia SSRF e senza audit di destinazione — in modo che l'insieme dei processori che può raggiungere è senza limiti e inconoscibile. Ecco perché MCP GATEWAY è BLOCKED NO BAA piuttosto che in attesa lavoro, e non ha avuto alcun punto di forza fino ad ora. La guardia si trova in McpServerManager.executeTool piuttosto che il controller, prima del controllo di frequenza e prima che qualsiasi trasporto venga toccato. Nota: era già in fase di fallimento. prima di questo cambiamento e non è correlato.
· MediaService
Guardia messaggi sociali e Canva ai loro chokepoint credenzialial
SOCIAL MESSAGING è applicato in SocialCredsResolver.resolve — il più stretto punto che copre ogni adattatore e entrambe le direzioni. Nessuna credenziali significa no Telegramma, Meta, Instagram, X o Discord call può essere fatto a tutti, inbound webhook verifica inclusa, dal momento che HMACs con lo stesso segreto. Nessuno di quei quattro firmeranno una BAA a qualsiasi prezzo, quindi nessun ingegneria lo muove. CANVA viene applicato su getConnection e saveConnection. Guardia solo il connettersi avrebbe lasciato un org che era già collegato quando è diventato un PHI inquilino ancora in grado di utilizzarlo, e la lettura è ciò che ogni chiamata API va attraverso per ottenere un token. 213 test verdi.
· kamo-shared-library
Controllare le ultime quattro capacità non forzate; la linea di base è ora vuota
SOCIAL MESSAGING, CANVA, MCP GATEWAY e ANALITICS EXPORT erano ciascuno dichiarato al di fuori del confine di conformità, legato a nessun ServiceType, e — la dichiarazione era l'intero controllo. Erano di base quando PhiCapabilityGuardCallSiteTest li ha trovati; tutti e quattro ora hanno veri siti di chiamata e la linea di base è vuota. PhiTenantResolver rimuove le tre linee ogni servizio stava per duplicato — caricare l'org, mappare la bandiera, chiedere alla guardia — dove ottenere il mezzo uno sbagliato è silenzioso: una riga mancante deve risolvere a UNKNOWN, e l'ortografia falsa trasforma un inquilino irrisolvibile in uno permesso. assertPlatformWidePermesso esiste per superfici senza singolo org, come un corpus esportazione che deliberatamente attraversa ogni inquilino. Chiedere il per-org domanda ci sarebbe negare su UNKNOWN per la ragione sbagliata e leggere come un bug; la domanda che effettivamente si applica è se QUALSIASI inquilino gestisce PHI. KNOWN UNGUARDED è tenuto come un insieme vuoto piuttosto che cancellato, perché il il meccanismo è il punto: l'aggiunta di un nome indietro è possibile, ma deliberato e visibile in recensione. 1597 test verdi.
· kamo-shared-library
Diritti, entità, repository e DTO
MANAGE SYSTEM BUGS è una PlatformRightType e deve rimanere una: la dispaccia un amministratore inquilino può modificare i modelli di sicurezza della propria organizzazione. Schizzate non hanno bisogno di tavolo — una riga Img già trasporta un tipo di assoc più un assoc object id, e imgs non ha vincolo CHECK su assoc id. Il nuovo l'associazione è rivendicata dal proprio StorageDomain, quindi il test di copertura che fallisce la costruzione su un upload non conteso rimane soddisfatto. SessionPlatformFacts si sposta qui da SecurityService: MediaService risolve anche i diritti della piattaforma, e due lettori di GodModeActive è precisamente il fallimento di cui la classe avverte.
Il tuo universo ti sta aspettando.
Aggiungi i prodotti quando sei pronto: nessuna migrazione, nessun nuovo login, nessuna richiesta di pagamento.
Gratis per sempre — nessuna carta di credito richiesta