Files

T

Дмитрий 3bf5eaed81 docs(security): аудит доведён до конца + поправка по верификации кода + баги стены

Прогон всех 5 сканеров: gitleaks 0 / Semgrep 0 / Ward 2(dev) / Nuclei 0(medium+) / ZAP 0(high). pg_anonymizer не установлен (факт). Три ложных P0 сняты проверкой кода (E9/E18/admin/SSRF закрыты). Вердикт NO-GO держат F-P1, pg_anonymizer, прод-.env. Трекер открытых вопросов + файл-баг (чтение под стеной, десинк F-J, зацикл наставника) для claude-brain.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

2026-06-17 16:25:23 +03:00

3.1 KiB

Raw Blame History

План v3 — поправка аудита по факту кода (вердикт остаётся NO-GO)

Цель

Внести верифицированную поправку в отчёт и трекер: E9/E18/E20/SSRF подтверждены закрытыми по коду и переводятся в «закрыто фактом / остаток». Итоговый вердикт аудита ОСТАЁТСЯ NO-GO — закрытие этих пунктов НЕ снимает реальные блокеры (F-P1 ретеншен телефонов, pg_anonymizer не установлен, прод-.env APP_DEBUG/APP_ENV). Правки только в docs/; код/схема/git не затрагиваются.

[]

[
  {"op":"Edit","object":"docs/security/2026-06-17-go-live-security-report.md","ref":"V3","note":"Вердикт ОСТАЁТСЯ NO-GO. Блок-поправка закрывает E9/E18/E20/SSRF (влияет только на список угроз), но блокеры F-P1, pg_anonymizer, прод-.env (APP_DEBUG/APP_ENV) НЕ сняты — итог не меняется на GO."},
  {"op":"Edit","object":"docs/security/2026-06-17-open-items.md","ref":"V3","note":"Строки B3/B4/B5 → «закрыто фактом / остаток». Приписка: блокеры B1 (F-P1), B2 (pg_anonymizer), B6 (прод-.env) НЕ сняты, общий вердикт NO-GO в силе. Шаг не переводит вердикт в GO."}
]

[
  {"id":"vc1","kind":"EXTRACTED","ref":"app/routes/web.php","anchor":"Go-live: auth:sanctum"},
  {"id":"vc2","kind":"EXTRACTED","ref":"docs/superpowers/specs/2026-06-17-audit-verify-correction-spec.md","anchor":"что остаётся реальным блокером"}
]

Переговоры

Круг 1

Две аддитивные правки docs/: в отчёт — блок-поправка с верифицированными фактами; в трекере B3/B4/B5 → «закрыто фактом / остаток». Код/схема/git не затрагиваются.

Круг 2

Forward-рекомендация: поправка обязана сохранить вердикт NO-GO и не выдавать закрытые пункты за нерешённые.

Круг 3 (учёт замечаний наставника кругов 17 и 18)

Замечание принято и зафиксировано явно в каждом шаге через поле note в steps-json:

Шаг 1 (отчёт): note прямо пишет «вердикт ОСТАЁТСЯ NO-GO»; закрытие E9/E18/E20/SSRF влияет только на список угроз; блокеры F-P1/pg_anonymizer/прод-.env не сняты — итог не GO.
Шаг 2 (трекер): note помечает B3/B4/B5 «закрыто фактом / остаток» с припиской, что B1/B2/B6 не сняты и NO-GO в силе.

Ни один шаг не меняет вердикт на GO; общий статус блокеров сохранён.

3.1 KiB Raw Blame History