[P1][journal] Unifier ouverture sûre, encodage validé et borne stricte #13

New issue

Open

opened 2026-07-31 21:05:12 +00:00 by mathieu · 1 comment

mathieu commented

2026-07-31 21:05:12 +00:00

Owner

Constat

Le journal suit un symlink ou peut bloquer sur un FIFO (internal/events/journal.go:63-81, :126-144). Il sérialise sans Event.Validate (:173-181) et écrit même si rotation/stat échoue ou si une ligne dépasse MaxBytes (:182-192). Trois chemins distincts contournent donc le contrat du journal.

Tâche

Ramener l'écriture à un append unique: ouverture O_NOFOLLOW non bloquante avec fstat regular/EUID/nlink/mode, encodage JSONL canonique validé, puis refus d'écriture si la borne ne peut être garantie.

Critères d'acceptation

Symlink, hardlink, FIFO et device sont refusés sans modification ni blocage.
Chaque ligne persistée passe Event.Validate.
Aucun fichier ne dépasse MaxBytes, même si rotation échoue.
Une erreur n'empêche pas une récupération ultérieure; le callback reste single-shot.

Validation

go test -race -count=50 ./internal/events ./internal/session

## Constat Le journal suit un symlink ou peut bloquer sur un FIFO (`internal/events/journal.go:63-81`, `:126-144`). Il sérialise sans `Event.Validate` (`:173-181`) et écrit même si rotation/stat échoue ou si une ligne dépasse `MaxBytes` (`:182-192`). Trois chemins distincts contournent donc le contrat du journal. ## Tâche Ramener l'écriture à un append unique: ouverture `O_NOFOLLOW` non bloquante avec `fstat` regular/EUID/nlink/mode, encodage JSONL canonique validé, puis refus d'écriture si la borne ne peut être garantie. ## Critères d'acceptation - Symlink, hardlink, FIFO et device sont refusés sans modification ni blocage. - Chaque ligne persistée passe `Event.Validate`. - Aucun fichier ne dépasse `MaxBytes`, même si rotation échoue. - Une erreur n'empêche pas une récupération ultérieure; le callback reste single-shot. ## Validation `go test -race -count=50 ./internal/events ./internal/session`