av
c9b7765646
- база своя: два пула, захват одним UPDATE ... RETURNING, шаги схемы на goose под файловым замком, одна миграция начальной схемы вместо семи прежних - транспорт переписан на net/http: свои слои, свой ограничитель частоты, отдача файла с проверкой владельца; панель /_/ и пространство /api/ исчезли - по находкам ревью: журнал не пишет путь под корнем приложения, ключ бюджета читается справа налево, узнавание известного идёт читающим пулом
9.6 KiB
9.6 KiB
Why
Встроенное хранилище куплено ради трёх вещей — панели владельца, файлов рядом с базой и входа через его провайдера, — и третья отпала 2026-08-22: пришедшего называет обратный прокси, а учётную запись заводит сам сервис. Оставшееся хранилище держит не только хранение: оно же маршрутизатор, цепочка слоёв, ограничитель частоты, отдача файлов и второй периметр на том же порту. Второй периметр опубликован в интернет вместе с панелью, его барьер обходится подменой знака в адресе, а закрыть его целиком нельзя — за файлами записей туда ходит браузер человека.
Момент назначен обстоятельством: на сервере данных нет и сервис остановлен, поэтому смена стоит только кода. Дешевле она не станет — код входов прирастает чужими типами с каждой задачей.
What Changes
- Сервис работает с базой напрямую и заводит свою схему своими шагами, двигая их
библиотекой
goose. Раскладка каталога данных меняется — BREAKING, необратимое. - Файлы записей ложатся в свой каталог со своей раскладкой и отдаются своим адресом сервиса. Право пройти по ссылке даёт узнавание и владение записью, а не короткий токен, выданный хранилищем на предъявителя.
- Панель администратора исчезает и не заменяется ничем — BREAKING. Остановленную запись возвращает в работу подкоманда набора инструментов разработчика — через домен и с событием журнала записи, — а экраны владельца приносят отдельные задачи.
- Второго адресного пространства у сервиса не остаётся: адреса хранилища и адрес панели перестают существовать — BREAKING. Корень приложения остаётся тем же, и контракт приложения не меняется ни одним полем.
- Собственного входа у хранилища больше нет — вместе с самим хранилищем, — и требования, закрывавшие его наглухо, теряют предмет. Узнавание остаётся прежним: заголовок доверенного источника на каждом запросе.
- Пароль владельца от панели пропадает — секрет, которого до перевода не было.
- Очередь остаётся своей таблицей, а захват — одним неделимым шагом с возвратом идентификатора и признака захвата.
- Ограничитель частоты под корнем приложения становится своим и перестаёт зависеть от настроек чужой поверхности.
Capabilities
New Capabilities
Новых capability изменение не заводит: предмет тот же, меняется его норма.
Modified Capabilities
storage: раскладка каталога данных и шаги схемы становятся своими; файл отдаётся адресом сервиса с проверкой владельца вместо ссылки хранилища с коротким токеном; требования о панели владельца, о пароле от неё и о закрытии собственной поверхности хранилища снимаются вместе с предметом; закрытость содержимого переписывается со словаря коллекций и правил доступа на словарь таблиц и адресов сервиса.access: требование, выключавшее собственные входы хранилища, снимается вместе с ними; область узнавания перестаёт обходить чужую поверхность и перестаёт включать выдачу токена файла; запрет на печать значения, дающего доступ, теряет упоминание короткого токена.archive: адреса приложения перестают соседствовать с чужим пространством — соседа больше нет; ограничитель частоты под корнем приложения становится своим, и объявленная частота опроса по-прежнему выводится из его бюджета.intake: имя файла в хранилище задаёт сервис, и умолчания, которое строило имя из имени отправителя, больше не существует; отказ узнанному без учётной записи теряет свой единственный случай — владельца панели с собственным токеном.webapp: перечень корней сервиса, из которого выводится правило неизвестного пути, теряет корень хранилища и корень панели; журнал у сервиса остаётся один.pipeline: возврат остановленной записи в работу перестаёт быть правкой в панели и становится подкомандой оснастки, идущей через домен; перечень полей, которые возврат обязан сбросить, называется целиком и в одном месте, и к нему добавляется обязанность писать событие журнала записи; норма о том, что шаг пишет только свои поля, остаётся в силе с прежней ценой.recognition: сохранённый ответ провайдера переезжает из вложения чужого хранилища в отдельный файл каталога данных, а его закрытость переписывается с пометки поля и правила просмотра коллекции на проверку владельца в обработчике сервиса. Зачем ответ хранится целиком и где лежит попытка распознавания, смена хранилища не трогает.
Impact
- Публичный контракт HTTP: пространство адресов хранилища и адрес панели исчезают, корень приложения остаётся. Формы запросов и ответов приложения не меняются.
- Раскладка каталога данных: файл базы и каталог файлов записей — необратимое, цена сегодня нулевая (стройка, на сервере пусто).
- Модель угроз: из периметра уходят панель, её пароль, дефект с подменой знака в адресе и правило прокси на чужое пространство; приходит своя отдача файла и свой ограничитель частоты.
- Инструмент владельца: панели нет; возврат остановленной записи в работу делает
подкоманда
cmd/devtools, прочая правка ждёт экранов. - Зависимости сборки: библиотека хранилища и всё, что достижимо только через
неё, уходят; драйвер базы без CGO остаётся; приходит
pressly/goose/v3— библиотекой, без командной строки. - Настройки: ключ каталога данных остаётся, ключей панели не заводится, и заводятся два ключа базы — ожидание занятой базы и число соединений чтения.
- Шаги схемы: применённые шаги прежнего каталога удаляются целиком и заменяются одним шагом начальной схемы — разовое снятие инварианта «применённая миграция не переписывается» решением владельца от 2026-08-22.