diff --git a/docs/tasks/T-211.md b/docs/tasks/T-211.md index 92ee28a..ad6f6a7 100644 --- a/docs/tasks/T-211.md +++ b/docs/tasks/T-211.md @@ -15,13 +15,14 @@ write_paths: - docs/api.md - admin/internal/tasks/** - admin/internal/taskclaim/** + - admin/internal/server/task_claims.go - admin/internal/server/task_claims_test.go - client/src/cmbuyer_client/core/** - client/tests/core/** - client/tests/remote/** --- - + ## 问题 / 背景 claim 成功响应受 32 KiB 总 body 上限保护，但创建、授权快照、candidate 和重放链路尚未统一约束各自由文本字段，客户端也未冻结同一单字段合法域。异常或历史超长值可能让合法业务事实变成不可传输响应。 @@ -40,6 +41,7 @@ claim 成功响应受 32 KiB 总 body 上限保护，但创建、授权快照、 3. 在创建、开始采购授权快照、claim candidate、持久化响应与幂等重放边界逐层 fail closed；不迁移、不截断或改写既有数据。 4. 客户端 wire model 使用相同边界，漂移响应按协议错误拒绝。 5. 增加最坏合法字段的 claim JSON 契约测试，明确编码后小于既有 32 KiB 响应上限。 +6. HTTP claim handler 在序列化前重验完整 service 响应并保持 32 KiB 上限；因此将精确文件 admin/internal/server/task_claims.go 纳入写路径，不扩大到其他 server 文件。 ## 验收要点 @@ -47,6 +49,7 @@ claim 成功响应受 32 KiB 总 body 上限保护，但创建、授权快照、 - 创建、授权、candidate、首次 claim 与重放均覆盖畸形既有数据并失败闭合。 - 客户端 title/SKU/goods_id/money 与服务端同界。 - 最坏合法 claim JSON 明确小于 32768 字节，保持现有 HTTP body cap。 +- handler 拒绝越界或畸形 service 输出，且不泄露响应内容。 - 两端完整测试、vet/build、compileall、根 init、上下文与 diff-check 通过。 ## 执行记录 @@ -58,6 +61,10 @@ claim 成功响应受 32 KiB 总 body 上限保护，但创建、授权快照、 ### 2026-08-04T17:11:07Z · ila 2026-08-05 主脑预审收紧：Go 必须先 utf8.ValidString，再按既有 TrimSpace 后实际持久化值计算 code point；start/authorization 遇既有畸形 task 原子失败，claim replay 重验持久化响应快照；不增加迁移。 + +### 2026-08-04T17:18:04Z · ila + +2026-08-05 实现范围收紧：HTTP handler 是 service 输出的最后边界，已获总控批准将精确文件 admin/internal/server/task_claims.go 纳入 write_paths；handler 序列化前重验 claim response 与 32 KiB 上限，不扩大到其他 server 文件。 ## 边界 @@ -73,7 +80,8 @@ claim 成功响应受 32 KiB 总 body 上限保护，但创建、授权快照、 start/authorization 遇到既有畸形 task 必须原子失败，claim replay 还必须重新校验持久化响应快照。 任一层发现超限或畸形既有数据都失败闭合，不迁移、不截断、不覆盖或修复历史行。 - claim 成功响应继续受既有 32 KiB HTTP body 上限约束；最坏合法字段组合的编码结果必须由契约测试 - 明确证明小于该上限，不得调高响应上限掩盖无界字段。 + 明确证明小于该上限。HTTP handler 在序列化前重验完整 claim response，并拒绝任何越界 service + 输出；不得调高响应上限掩盖无界字段。 - 客户端 claim wire model 与服务端使用完全相同的上限；未知、缺失、超限或格式漂移响应必须拒绝， 不得静默接受后再截断入库。 - 本任务不修改数据库迁移或 schema，不连接设备，不改变授权、身份、租约、幂等、int64、金额或安全