Dziennik audytu Open Mercato: historia zmian, undo i redo

Czternaście pojęć, których nie wolno łączyć

Łańcuch dowodowy

1. 1

   identity and request

   Zapisz bieżący mechanizm, możliwą lukę, minimalny dowód odbioru, odpowiedzialną rolę oraz stan native, configurable, custom, integration-dependent lub deployment-specific.

2. 2

   authentication and session

   Zapisz bieżący mechanizm, możliwą lukę, minimalny dowód odbioru, odpowiedzialną rolę oraz stan native, configurable, custom, integration-dependent lub deployment-specific.

3. 3

   authorization and scope

   Zapisz bieżący mechanizm, możliwą lukę, minimalny dowód odbioru, odpowiedzialną rolę oraz stan native, configurable, custom, integration-dependent lub deployment-specific.

4. 4

   command or read

   Zapisz bieżący mechanizm, możliwą lukę, minimalny dowód odbioru, odpowiedzialną rolę oraz stan native, configurable, custom, integration-dependent lub deployment-specific.

5. 5

   database outcome

   Zapisz bieżący mechanizm, możliwą lukę, minimalny dowód odbioru, odpowiedzialną rolę oraz stan native, configurable, custom, integration-dependent lub deployment-specific.

6. 6

   action or access record

   Zapisz bieżący mechanizm, możliwą lukę, minimalny dowód odbioru, odpowiedzialną rolę oraz stan native, configurable, custom, integration-dependent lub deployment-specific.

7. 7

   event, job, index or cache

   Zapisz bieżący mechanizm, możliwą lukę, minimalny dowód odbioru, odpowiedzialną rolę oraz stan native, configurable, custom, integration-dependent lub deployment-specific.

8. 8

   external request and acknowledgement

   Zapisz bieżący mechanizm, możliwą lukę, minimalny dowód odbioru, odpowiedzialną rolę oraz stan native, configurable, custom, integration-dependent lub deployment-specific.

9. 9

   reconciliation

   Zapisz bieżący mechanizm, możliwą lukę, minimalny dowód odbioru, odpowiedzialną rolę oraz stan native, configurable, custom, integration-dependent lub deployment-specific.

10. 10

    business outcome

    Zapisz bieżący mechanizm, możliwą lukę, minimalny dowód odbioru, odpowiedzialną rolę oraz stan native, configurable, custom, integration-dependent lub deployment-specific.

Macierz typów logów i dowodów

Granice pokrycia działań i dostępu

Rekord działania może zawierać tenant, organizację, aktora, komendę, etykietę, typ działania/zasobu, powiązane zasoby, stan, token, input, snapshoty, zmiany, kontekst, źródło i czas. Zakres wypełnionych pól zależy od komendy. Handler wymaga tylko id i execute. Rekordu może brakować bez metadanych lub serwisu, przy skipLog, no-op/dedup, ochronie przed rekursją, direct/custom write albo pominięciu busa. Buduj inwentarz według ryzyka. Procent z surowego wyszukiwania jest niewystarczający.

Standard CRUD zapisuje po jednym rekordzie na unikalny id zwróconego zasobu z typem dostępu, nazwami pól, liczbą wyników, nazwami query keys i path. Pusty wynik nie tworzy rekordu zasobu. Cached branches są instrumentowane. Custom API, direct ORM, search, raporty, dashboardy, eksporty, załączniki, portal, AI, background jobs, integracje, narzędzia wsparcia i odmowy wymagają przeglądu. Zwykłe zapisy są batchowane i śledzone bez await oraz działają w trybie fail-open, chyba że wybrano i przetestowano blocking mode.

• standard CRUD
• cached results
• custom API routes
• direct ORM
• search
• reports
• dashboards
• exports
• attachments
• portal
• AI tools
• background jobs
• integrations
• administrator/support tools
• denied attempts

Retencja, szyfrowanie i integralność

Rekordy dostępu domyślnie mają siedem dni dla auth.user/auth.role i osiem godzin dla innych zasobów przez AUDIT_LOGS_CORE_RETENTION_DAYS i AUDIT_LOGS_NON_CORE_RETENTION_HOURS. Cleanup usuwa hard-delete po udanym zapisie i ma per-process throttle AUDIT_LOGS_ROTATE_INTERVAL_MS, domyślnie 60 sekund. Cleanup działa oportunistycznie. Nie zapewnia dokładnego harmonogramu, archiwum, legal hold ani retencji działań. Nie potwierdzono ogólnego workera retencji/archiwum action log. Wybrane payloady, snapshoty, zmiany, kontekst, zasoby i pola są w konfigurowalnych mapach szyfrowania. Sprawdź kolumny zapytań i odszyfrowane API.

Sprawdzony kod nie potwierdza łańcuchów kryptograficznych, podpisów, trusted timestamps, WORM, non-repudiation, legal admissibility ani ochrony przed każdym uprzywilejowanym operatorem.

Uprawnienia i eksport

view_self rozpoczyna dostęp; view_tenant może rozszerzyć widok aktora w uwierzytelnionym tenancie i dozwolonej organizacji. Access view nadal domyślnie pokazuje caller, dopóki nie wybrano innego aktora. undo_self, undo_tenant, redo_self i redo_tenant są osobne. Employee domyślnie ma view_self i undo_self; redo_self jest wyłączone z tych ustawień. Stosuj minimalne uprawnienia, rozdział obowiązków, przegląd okresowy, break-glass i revocation.

CSV obejmuje tylko actions, jest filtrowany, ma limit 1000 rekordów i spłaszcza zmiany do When, User, Action, Field, Old Value, New Value i Source. Obejmuje ograniczony zbiór dowodów i wyklucza rekordy access. Zapisz eksportera, zakres, klasyfikację pliku, miejsce, szyfrowanie, expiry, usunięcie, ujawnienie, kompletność i dowód samego eksportu.

Odwracalność konkretnej operacji

Undo wymaga handlera, tokenu, stanu done, zakresu aktora/tenantu/organizacji i najnowszej kwalifikującej się akcji zasobu lub aktora. Compare-and-set done do undoing blokuje podwójne wykonanie; błąd zwalnia claim; sukces zużywa token i zapisuje trace. Redo ma jawny route w bieżącym kodzie i osobne uprawnienie: używa zapisanego inputu lub handlera dla najnowszej undone action, oznacza source jako redone i może utworzyć świeżą action i token. Bieżące ograniczenia mogą wywołać collision; zachowanie id zależy od handlera. Banner 10 sekund steruje widocznością w UI. Nie określa eligibility, retencji, rollbacku ani recovery.

Macierz transakcji i awarii

Lokalne undo nie wycofa płatności, shipmentu, emaila, webhooka, pliku, powiadomienia, skonsumowanego eventu ani stanu third party bez implementacji i weryfikacji odwrócenia przez integrację.

Trzy syntetyczne przykłady

Pakiet odbioru

Zatrzymaj lub odłóż

• unknown coverage for a critical operation.
• no accountable owner.
• access evidence shorter than investigation need.
• sensitive payload overcollection.
• untested privileged access.
• missing archive or legal-hold need.
• unproven cross-scope restrictions.
• no external reconciliation.
• ambiguous undo side effects.
• missing restore evidence.
• required action/log atomicity is unproven.
• required WORM or signing is not implemented.

Metoda i drift dokumentacji

Dowody odświeżono dla wskazanej rewizji w encjach, serwisach, ACL, setup, szyfrowaniu, API actions/access, bieżących trasach undo/redo i testach, command bus, helperze CRUD, UI i user guide. Sprawdzony guide nadal sugeruje węższe undo i manualne redo; bieżący kod zawiera jawne UI, route, uprawnienia, stany i testy redo. Opisane tu zachowanie redo pochodzi z bieżącego kodu. Wydanie v0.6.5 opisujemy osobno.