Compare commits
| Author | SHA1 | Date | |
|---|---|---|---|
 sysops
|
34498c415a | ||
|
sysops
|
5a0d07444c |
@@ -0,0 +1,20 @@
|
||||
name: Core-Pflichttest-Gate
|
||||
|
||||
on:
|
||||
pull_request: {}
|
||||
|
||||
jobs:
|
||||
pflichttest-gate:
|
||||
runs-on: ubuntu-latest
|
||||
steps:
|
||||
- uses: actions/checkout@v4
|
||||
with:
|
||||
fetch-depth: 0
|
||||
- uses: actions/setup-go@v5
|
||||
with:
|
||||
go-version: "1.22"
|
||||
- name: Gate bauen
|
||||
run: go build -o /tmp/pflichttestgate ./cmd/pflichttestgate
|
||||
- name: Geänderte Dateien gegen Pflichttest-Regel pruefen
|
||||
run: |
|
||||
git diff --name-only "origin/${{ github.base_ref }}...HEAD" | /tmp/pflichttestgate
|
||||
@@ -44,3 +44,20 @@ Keine Commits in dieser Session.
|
||||
Keine Änderungen ermittelbar.
|
||||
|
||||
---
|
||||
## 2026-08-28 22:37 – 22:41 (3m)
|
||||
**Beschreibung:** Claude Code Session
|
||||
**Projekt:** nexarch
|
||||
|
||||
### Commits
|
||||
- 5a0d074 QA-01: teststrategie-core (pflichttest-gate, testdb-isolationsnachweis, ci-workflow)
|
||||
|
||||
### Geänderte Dateien
|
||||
- .gitea/workflows/pflichttest-gate.yml | 20 ++++++++++++++++++++
|
||||
- cmd/pflichttestgate/main.go | 41 +++++++++++++++++++++++++++++++++++++++++
|
||||
- docs/TESTSTRATEGIE-CORE.md | 81 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
|
||||
- internal/pflichttestgate/gate.go | 67 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
|
||||
- internal/pflichttestgate/gate_test.go | 84 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
|
||||
- internal/testdbisolation/isolation.go | 76 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
|
||||
- internal/testdbisolation/isolation_test.go | 99 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
|
||||
|
||||
---
|
||||
|
||||
@@ -1,18 +0,0 @@
|
||||
version: "2"
|
||||
|
||||
run:
|
||||
timeout: 3m
|
||||
|
||||
linters:
|
||||
default: none
|
||||
enable:
|
||||
- govet
|
||||
- staticcheck
|
||||
- errcheck
|
||||
- unused
|
||||
- ineffassign
|
||||
|
||||
formatters:
|
||||
enable:
|
||||
- gofmt
|
||||
- goimports
|
||||
@@ -1,19 +0,0 @@
|
||||
.PHONY: build lint fmt test check
|
||||
|
||||
build:
|
||||
go build ./...
|
||||
|
||||
lint:
|
||||
golangci-lint run ./...
|
||||
|
||||
fmt:
|
||||
gofmt -l .
|
||||
@test -z "$$(gofmt -l .)" || (echo "gofmt-Verstoesse gefunden, siehe oben" && exit 1)
|
||||
|
||||
test:
|
||||
go test ./... -p 1 -count=1
|
||||
|
||||
check: build
|
||||
go vet ./...
|
||||
golangci-lint run ./...
|
||||
go test ./... -p 1 -count=1
|
||||
@@ -1,33 +0,0 @@
|
||||
# NEXARCH Archive
|
||||
|
||||
Zentrales, modulübergreifendes Modul für Aufbewahrung, WORM, Compliance und
|
||||
Backup. Dieses Verzeichnis enthält bisher `internal/backup` (BAK-01,
|
||||
Datenbank-Backup-Strategie) — weitere Bausteine folgen ticketweise.
|
||||
|
||||
## BAK-01: Datenbank-Backup
|
||||
|
||||
`cmd/backup-cli` — Aufrufpunkt für systemd-Timer (siehe
|
||||
`../deploy/systemd/nexarch-archive-backup-*.timer`):
|
||||
|
||||
```bash
|
||||
export NEXARCH_BACKUP_PG_USER=nexarch_backup
|
||||
export NEXARCH_BACKUP_PG_PASSWORD=...
|
||||
export NEXARCH_BACKUP_DIR=/var/backups/nexarch
|
||||
export NEXARCH_BACKUP_KEEP_GENERATIONS=7 # optional, Default 7
|
||||
|
||||
backup-cli full # neue Vollsicherung + Verifikation
|
||||
backup-cli incremental # inkrementelle Sicherung gegen die neueste Generation
|
||||
backup-cli rotate # entfernt alle bis auf die neuesten N Generationen
|
||||
```
|
||||
|
||||
Voraussetzung: die konfigurierte Postgres-Rolle braucht das
|
||||
`REPLICATION`-Attribut (`pg_basebackup` nutzt eine
|
||||
Replikationsverbindung), und `summarize_wal = on` muss serverseitig gesetzt
|
||||
sein (PostgreSQL 17s natives inkrementelles Backup, keine WAL-Archivierung
|
||||
nötig).
|
||||
|
||||
## Prüfungen
|
||||
|
||||
```bash
|
||||
make check # build + vet + lint + test, analog Core/DMS
|
||||
```
|
||||
@@ -1,107 +0,0 @@
|
||||
// backup-cli ist der Aufrufpunkt für BAK-01, gedacht für systemd-Timer
|
||||
// (siehe deploy/systemd/) — "automatisiert nach Zeitplan" (Akzeptanzkriterium
|
||||
// 1) entsteht durch die Zeitplan-Definition im Timer-Unit, nicht durch
|
||||
// einen eigenen In-Prozess-Scheduler (kein zusätzlicher Dauerprozess nötig,
|
||||
// passt zur Produkt-DNA "kein Anwendungsserver mit unnötigem
|
||||
// Ressourcenverbrauch").
|
||||
package main
|
||||
|
||||
import (
|
||||
"context"
|
||||
"fmt"
|
||||
"log"
|
||||
"os"
|
||||
"time"
|
||||
|
||||
"gitea.perlbach24.de/scripte/nexarch/archive/internal/backup"
|
||||
)
|
||||
|
||||
func loadConfig() backup.Config {
|
||||
cfg := backup.Config{
|
||||
Host: os.Getenv("NEXARCH_BACKUP_PG_HOST"),
|
||||
Port: os.Getenv("NEXARCH_BACKUP_PG_PORT"),
|
||||
User: os.Getenv("NEXARCH_BACKUP_PG_USER"),
|
||||
Password: os.Getenv("NEXARCH_BACKUP_PG_PASSWORD"),
|
||||
BackupDir: os.Getenv("NEXARCH_BACKUP_DIR"),
|
||||
}
|
||||
if cfg.Host == "" {
|
||||
cfg.Host = "localhost"
|
||||
}
|
||||
if cfg.Port == "" {
|
||||
cfg.Port = "5432"
|
||||
}
|
||||
if cfg.User == "" || cfg.Password == "" || cfg.BackupDir == "" {
|
||||
log.Fatal("NEXARCH_BACKUP_PG_USER, NEXARCH_BACKUP_PG_PASSWORD und NEXARCH_BACKUP_DIR muessen gesetzt sein")
|
||||
}
|
||||
return cfg
|
||||
}
|
||||
|
||||
func latestManifest(backupDir string) (string, error) {
|
||||
generations, err := backup.ListGenerations(backupDir)
|
||||
if err != nil {
|
||||
return "", err
|
||||
}
|
||||
if len(generations) == 0 {
|
||||
return "", fmt.Errorf("keine vorhandene generation fuer inkrementelle sicherung gefunden - zuerst 'full' ausfuehren")
|
||||
}
|
||||
latest := generations[len(generations)-1]
|
||||
full := backupDir + "/" + latest + "/" + backup.FullBackupDirName + "/" + backup.BackupManifestFile
|
||||
if _, err := os.Stat(full); err == nil {
|
||||
return full, nil
|
||||
}
|
||||
return "", fmt.Errorf("kein backup_manifest in der neuesten generation %q gefunden", latest)
|
||||
}
|
||||
|
||||
func main() {
|
||||
if len(os.Args) < 2 {
|
||||
log.Fatal("aufruf: backup-cli <full|incremental|verify|rotate> [args]")
|
||||
}
|
||||
cfg := loadConfig()
|
||||
ctx := context.Background()
|
||||
|
||||
switch os.Args[1] {
|
||||
case "full":
|
||||
genID := backup.NewGenerationID(time.Now())
|
||||
manifest, err := backup.FullBackup(ctx, cfg, genID)
|
||||
if err != nil {
|
||||
log.Fatalf("vollsicherung fehlgeschlagen: %v", err)
|
||||
}
|
||||
dir := manifest[:len(manifest)-len("/"+backup.BackupManifestFile)]
|
||||
if err := backup.Verify(dir); err != nil {
|
||||
log.Fatalf("verifikation der vollsicherung fehlgeschlagen: %v", err)
|
||||
}
|
||||
fmt.Printf("vollsicherung %q erstellt und verifiziert: %s\n", genID, manifest)
|
||||
|
||||
case "incremental":
|
||||
manifest, err := latestManifest(cfg.BackupDir)
|
||||
if err != nil {
|
||||
log.Fatal(err)
|
||||
}
|
||||
generations, _ := backup.ListGenerations(cfg.BackupDir)
|
||||
genID := generations[len(generations)-1]
|
||||
incID := backup.NewGenerationID(time.Now())
|
||||
newManifest, err := backup.IncrementalBackup(ctx, cfg, genID, incID, manifest)
|
||||
if err != nil {
|
||||
log.Fatalf("inkrementelle sicherung fehlgeschlagen: %v", err)
|
||||
}
|
||||
dir := newManifest[:len(newManifest)-len("/"+backup.BackupManifestFile)]
|
||||
if err := backup.Verify(dir); err != nil {
|
||||
log.Fatalf("verifikation der inkrementellen sicherung fehlgeschlagen: %v", err)
|
||||
}
|
||||
fmt.Printf("inkrementelle sicherung %q erstellt und verifiziert: %s\n", incID, newManifest)
|
||||
|
||||
case "rotate":
|
||||
keep := 7
|
||||
if v := os.Getenv("NEXARCH_BACKUP_KEEP_GENERATIONS"); v != "" {
|
||||
_, _ = fmt.Sscanf(v, "%d", &keep)
|
||||
}
|
||||
removed, err := backup.Rotate(cfg.BackupDir, keep)
|
||||
if err != nil {
|
||||
log.Fatalf("rotation fehlgeschlagen: %v", err)
|
||||
}
|
||||
fmt.Printf("rotation abgeschlossen, %d generation(en) entfernt: %v\n", len(removed), removed)
|
||||
|
||||
default:
|
||||
log.Fatalf("unbekannter befehl %q", os.Args[1])
|
||||
}
|
||||
}
|
||||
@@ -1,78 +0,0 @@
|
||||
# BAK-01 – Prüfprotokoll: Datenbank-Backup-Strategie
|
||||
|
||||
Welle 1, keine Vorbedingungen. Neues Modul-Verzeichnis `code/archive/`
|
||||
(gleiches Monorepo-Muster wie `code/dms/`), eigenes Go-Modul
|
||||
`gitea.perlbach24.de/scripte/nexarch/archive`.
|
||||
|
||||
## Grundsatzentscheidung: PostgreSQL-17-natives inkrementelles Backup
|
||||
|
||||
`pg_dump` kennt nur logische Vollsicherungen — "inkrementell" im Sinne des
|
||||
Tickets erfordert das physische Backup-Verfahren. Gewählt: PostgreSQL 17s
|
||||
natives `pg_basebackup --incremental` (WAL-Summarization), NICHT klassisches
|
||||
WAL-Archiving (`archive_mode`), weil letzteres einen Neustart der
|
||||
(geteilten, auch von Core/DMS-Tests genutzten) Postgres-Instanz auf
|
||||
192.168.1.131 erfordert hätte. Stattdessen `summarize_wal = on` gesetzt —
|
||||
nur ein `pg_reload_conf()`, kein Neustart, keine Unterbrechung laufender
|
||||
Verbindungen (per Health-Check nach der Änderung bestätigt).
|
||||
|
||||
Voraussetzung geschaffen: Rolle `nexarch_backup` mit `REPLICATION`-Attribut
|
||||
angelegt (Postgres verlangt eine Replikationsverbindung für
|
||||
`pg_basebackup`), `pg_hba.conf` erlaubte lokale Replikationsverbindungen
|
||||
bereits.
|
||||
|
||||
## Umsetzung
|
||||
|
||||
- `internal/backup.FullBackup`/`IncrementalBackup` — rufen `pg_basebackup`
|
||||
über `os/exec` auf, Ergebnis landet in einer Generationsstruktur
|
||||
(`<BackupDir>/<Generation>/full/` bzw. `.../incremental/<ID>/`).
|
||||
- `internal/backup.Verify` — öffnet `base.tar.gz` vollständig (gzip- UND
|
||||
tar-Stream, jeder Eintrag bis zum Ende gelesen, nicht nur Kopfdaten) —
|
||||
Akzeptanzkriterium 2: Verifikation auf Lesbarkeit, nicht nur Erstellung.
|
||||
- `internal/backup.Rotate`/`ListGenerations` — Generationen sind nach
|
||||
Zeitstempel-ID sortierbar, `Rotate` entfernt die ältesten bis auf `keep`
|
||||
komplett (inklusive aller abhängigen Inkremente).
|
||||
- `cmd/backup-cli` — `full`/`incremental`/`rotate`, aufgerufen von
|
||||
systemd-Timern (`deploy/systemd/nexarch-archive-backup-*.timer`) —
|
||||
"automatisiert nach Zeitplan" (Akzeptanzkriterium 1) entsteht durch die
|
||||
Timer-Definition, kein zusätzlicher Dauerprozess nötig.
|
||||
|
||||
## Prüfungen
|
||||
|
||||
| # | Prüfung | Ergebnis |
|
||||
|---|---|---|
|
||||
| 1 | Sicherung gegen Testdatenbank erfolgreich erstellt und verifiziert | **bestanden** — `TestFullBackup_CreatesVerifiedBackup` gegen die echte Postgres-17-Instanz auf 192.168.1.131 (kein Mock), zusätzlich `TestIncrementalBackup_IsSmallerThanFull`: inkrementelle Sicherung real deutlich kleiner als Vollsicherung (167 KB vs. 16 MB bei der ersten manuellen Probe) — beweist echte inkrementelle Übertragung, nicht nur eine zweite Vollsicherung |
|
||||
| 2 | Verifikation erkennt eine absichtlich beschädigte Sicherungsdatei | **bestanden** — `TestVerify_DetectsCorruptedFile`: 64 Bytes in der Mitte von `base.tar.gz` gekippt, `Verify` schlägt danach fehl (unbeschädigt zuvor erfolgreich) |
|
||||
| 3 | Rotationsregel entfernt nachweislich nur die ältesten Generationen | **bestanden** — `TestRotate_RemovesOnlyOldestGenerations`: 5 Generationen, `keep=2`, exakt die 3 ältesten entfernt, die 2 neuesten nachweislich unangetastet |
|
||||
|
||||
## Echte Verdrahtung auf 192.168.1.131 (nicht nur Testcode)
|
||||
|
||||
Anders als die zuletzt in DMS gefundenen "Baustein existiert, ist aber
|
||||
nirgends verdrahtet"-Fälle (FDN-03/FDN-09 gegen Core) wurde hier die
|
||||
komplette Kette tatsächlich installiert und ausgeführt:
|
||||
|
||||
- `backup-cli` gebaut nach `/opt/nexarch-archive/bin/`
|
||||
- `/etc/nexarch/archive-backup.env` mit den Verbindungsdaten (0600)
|
||||
- 3 systemd-Timer installiert und aktiviert (`enable --now`):
|
||||
Vollsicherung täglich 02:00 UTC, Inkrement stündlich, Rotation täglich
|
||||
03:00 UTC (`systemctl list-timers` bestätigt alle drei scharf)
|
||||
- Jeder der drei Dienste (`full`/`incremental`/`rotate`) einmal manuell über
|
||||
`systemctl start` ausgelöst (nicht nur `go test` direkt) — alle drei mit
|
||||
`status=0/SUCCESS`, Journal bestätigt inhaltlich korrekte Ausgabe
|
||||
(Vollsicherung erstellt+verifiziert, Inkrement erstellt+verifiziert
|
||||
gegen die richtige Vorgänger-Generation, Rotation lief ohne Fehler)
|
||||
|
||||
## Build/Test-Ergebnis (192.168.1.131, `make check`)
|
||||
|
||||
```
|
||||
go build ./... -> clean
|
||||
go vet ./... -> clean
|
||||
golangci-lint run ./... -> 0 issues
|
||||
go test ./... -p 1 -count=1 -> 4/4 Tests ok, 0 Fehlschläge (echter Postgres 17, kein Mock)
|
||||
```
|
||||
|
||||
## Gesamtergebnis
|
||||
|
||||
**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
|
||||
real erfüllt — inklusive tatsächlicher systemd-Timer-Installation und
|
||||
manuell ausgelöstem End-to-End-Lauf aller drei Dienste auf dem Testhost,
|
||||
nicht nur isolierter Testcode.
|
||||
@@ -1,3 +0,0 @@
|
||||
module gitea.perlbach24.de/scripte/nexarch/archive
|
||||
|
||||
go 1.22
|
||||
@@ -1,102 +0,0 @@
|
||||
// Package backup implementiert BAK-01: automatisierte, inkrementelle
|
||||
// Sicherung der PostgreSQL-Datenbank per pg_basebackup (PostgreSQL 17s
|
||||
// natives inkrementelles Backup über WAL-Summarization, siehe
|
||||
// `summarize_wal`), mit Verifikation jeder Sicherung und
|
||||
// generationsbasierter Rotation. Kein pg_dump-basierter Ansatz, weil
|
||||
// pg_dump ausschließlich logische Vollsicherungen kennt — "inkrementell"
|
||||
// im Sinne des Tickets erfordert das physische, WAL-summary-gestützte
|
||||
// Verfahren aus PostgreSQL 17.
|
||||
package backup
|
||||
|
||||
import (
|
||||
"context"
|
||||
"fmt"
|
||||
"os"
|
||||
"os/exec"
|
||||
"path/filepath"
|
||||
"time"
|
||||
)
|
||||
|
||||
// Config enthält die Verbindungsdaten für pg_basebackup — ausschließlich
|
||||
// über Umgebungsvariablen befüllt, nie im Code (siehe Ticket-Abschluss-
|
||||
// Regel).
|
||||
type Config struct {
|
||||
Host string
|
||||
Port string
|
||||
User string
|
||||
Password string
|
||||
BackupDir string
|
||||
PgBaseBackupPath string // Default "pg_basebackup", überschreibbar für Tests
|
||||
}
|
||||
|
||||
func (c Config) binary() string {
|
||||
if c.PgBaseBackupPath != "" {
|
||||
return c.PgBaseBackupPath
|
||||
}
|
||||
return "pg_basebackup"
|
||||
}
|
||||
|
||||
// FullBackupDirName/IncrementalDirName sind die festen Unterverzeichnis-
|
||||
// namen je Generation.
|
||||
const (
|
||||
FullBackupDirName = "full"
|
||||
IncrementalSubdir = "incremental"
|
||||
BackupManifestFile = "backup_manifest"
|
||||
BaseTarGzFile = "base.tar.gz"
|
||||
)
|
||||
|
||||
// NewGenerationID liefert eine sortierbare, eindeutige Generation-Kennung
|
||||
// (RFC3339-artig, dateisystemtauglich) — Generationen werden anhand dieser
|
||||
// Kennung chronologisch sortiert (Rotate, ListGenerations).
|
||||
func NewGenerationID(t time.Time) string {
|
||||
return t.UTC().Format("20060102T150405Z")
|
||||
}
|
||||
|
||||
// FullBackup erstellt eine neue Vollsicherung (Akzeptanzkriterium 1) als
|
||||
// eigene Generation. Liefert den Pfad zum backup_manifest, das spätere
|
||||
// IncrementalBackup-Aufrufe als Referenz brauchen.
|
||||
func FullBackup(ctx context.Context, cfg Config, generationID string) (manifestPath string, err error) {
|
||||
dir := filepath.Join(cfg.BackupDir, generationID, FullBackupDirName)
|
||||
if err := os.MkdirAll(filepath.Dir(dir), 0o750); err != nil {
|
||||
return "", fmt.Errorf("backup: generationsverzeichnis anlegen: %w", err)
|
||||
}
|
||||
|
||||
args := []string{
|
||||
"-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User,
|
||||
"-D", dir, "-Ft", "-z", "--checkpoint=fast", "--no-password",
|
||||
}
|
||||
if err := runPgBaseBackup(ctx, cfg, args); err != nil {
|
||||
return "", fmt.Errorf("backup: vollsicherung: %w", err)
|
||||
}
|
||||
return filepath.Join(dir, BackupManifestFile), nil
|
||||
}
|
||||
|
||||
// IncrementalBackup erstellt eine inkrementelle Sicherung gegen die zuletzt
|
||||
// bekannte Vollsicherung ODER die letzte Inkrement-Sicherung (priorManifestPath
|
||||
// zeigt jeweils auf das backup_manifest der Referenz).
|
||||
func IncrementalBackup(ctx context.Context, cfg Config, generationID, incrementID, priorManifestPath string) (manifestPath string, err error) {
|
||||
dir := filepath.Join(cfg.BackupDir, generationID, IncrementalSubdir, incrementID)
|
||||
if err := os.MkdirAll(filepath.Dir(dir), 0o750); err != nil {
|
||||
return "", fmt.Errorf("backup: inkrement-verzeichnis anlegen: %w", err)
|
||||
}
|
||||
|
||||
args := []string{
|
||||
"-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User,
|
||||
"-D", dir, "-Ft", "-z", "--checkpoint=fast", "--no-password",
|
||||
"--incremental=" + priorManifestPath,
|
||||
}
|
||||
if err := runPgBaseBackup(ctx, cfg, args); err != nil {
|
||||
return "", fmt.Errorf("backup: inkrementelle sicherung: %w", err)
|
||||
}
|
||||
return filepath.Join(dir, BackupManifestFile), nil
|
||||
}
|
||||
|
||||
func runPgBaseBackup(ctx context.Context, cfg Config, args []string) error {
|
||||
cmd := exec.CommandContext(ctx, cfg.binary(), args...)
|
||||
cmd.Env = append(os.Environ(), "PGPASSWORD="+cfg.Password)
|
||||
output, err := cmd.CombinedOutput()
|
||||
if err != nil {
|
||||
return fmt.Errorf("%s fehlgeschlagen: %w (ausgabe: %s)", cfg.binary(), err, string(output))
|
||||
}
|
||||
return nil
|
||||
}
|
||||
@@ -1,187 +0,0 @@
|
||||
package backup
|
||||
|
||||
import (
|
||||
"context"
|
||||
"os"
|
||||
"path/filepath"
|
||||
"testing"
|
||||
"time"
|
||||
)
|
||||
|
||||
func requireTestConfig(t *testing.T) Config {
|
||||
t.Helper()
|
||||
user := os.Getenv("TEST_BACKUP_PG_USER")
|
||||
if user == "" {
|
||||
t.Skip("TEST_BACKUP_PG_USER nicht gesetzt, Integrationstest uebersprungen (braucht echten Postgres mit REPLICATION-Rolle)")
|
||||
}
|
||||
return Config{
|
||||
Host: envOr("TEST_BACKUP_PG_HOST", "localhost"),
|
||||
Port: envOr("TEST_BACKUP_PG_PORT", "5432"),
|
||||
User: user,
|
||||
Password: os.Getenv("TEST_BACKUP_PG_PASSWORD"),
|
||||
BackupDir: t.TempDir(),
|
||||
}
|
||||
}
|
||||
|
||||
func envOr(key, fallback string) string {
|
||||
if v := os.Getenv(key); v != "" {
|
||||
return v
|
||||
}
|
||||
return fallback
|
||||
}
|
||||
|
||||
// TestFullBackup_CreatesVerifiedBackup ist Pruefung 1: Sicherung gegen
|
||||
// Testdatenbank erfolgreich erstellt und verifiziert.
|
||||
func TestFullBackup_CreatesVerifiedBackup(t *testing.T) {
|
||||
cfg := requireTestConfig(t)
|
||||
ctx := context.Background()
|
||||
|
||||
genID := NewGenerationID(time.Now())
|
||||
manifest, err := FullBackup(ctx, cfg, genID)
|
||||
if err != nil {
|
||||
t.Fatalf("fullbackup: %v", err)
|
||||
}
|
||||
if _, err := os.Stat(manifest); err != nil {
|
||||
t.Fatalf("backup_manifest fehlt: %v", err)
|
||||
}
|
||||
|
||||
dir := filepath.Dir(manifest)
|
||||
if _, err := os.Stat(filepath.Join(dir, BaseTarGzFile)); err != nil {
|
||||
t.Fatalf("%s fehlt: %v", BaseTarGzFile, err)
|
||||
}
|
||||
|
||||
if err := Verify(dir); err != nil {
|
||||
t.Fatalf("verify: %v", err)
|
||||
}
|
||||
}
|
||||
|
||||
// TestIncrementalBackup_IsSmallerThanFull ist der Nachweis fuer
|
||||
// Akzeptanzkriterium 1 (inkrementell): eine echte inkrementelle Sicherung
|
||||
// gegen unveraenderten Bestand ist deutlich kleiner als die Vollsicherung —
|
||||
// beweist, dass tatsaechlich nur Aenderungen uebertragen wurden (PostgreSQL
|
||||
// 17 WAL-Summarization), nicht nochmal alles.
|
||||
func TestIncrementalBackup_IsSmallerThanFull(t *testing.T) {
|
||||
cfg := requireTestConfig(t)
|
||||
ctx := context.Background()
|
||||
|
||||
genID := NewGenerationID(time.Now())
|
||||
fullManifest, err := FullBackup(ctx, cfg, genID)
|
||||
if err != nil {
|
||||
t.Fatalf("fullbackup: %v", err)
|
||||
}
|
||||
fullDir := filepath.Dir(fullManifest)
|
||||
fullSize := fileSize(t, filepath.Join(fullDir, BaseTarGzFile))
|
||||
|
||||
incID := NewGenerationID(time.Now().Add(time.Second))
|
||||
incManifest, err := IncrementalBackup(ctx, cfg, genID, incID, fullManifest)
|
||||
if err != nil {
|
||||
t.Fatalf("incrementalbackup: %v", err)
|
||||
}
|
||||
incDir := filepath.Dir(incManifest)
|
||||
if err := Verify(incDir); err != nil {
|
||||
t.Fatalf("verify (inkrementell): %v", err)
|
||||
}
|
||||
incSize := fileSize(t, filepath.Join(incDir, BaseTarGzFile))
|
||||
|
||||
if incSize >= fullSize {
|
||||
t.Fatalf("inkrementelle sicherung (%d bytes) ist nicht kleiner als die vollsicherung (%d bytes) - keine echte inkrementelle Uebertragung", incSize, fullSize)
|
||||
}
|
||||
}
|
||||
|
||||
func fileSize(t *testing.T, path string) int64 {
|
||||
t.Helper()
|
||||
info, err := os.Stat(path)
|
||||
if err != nil {
|
||||
t.Fatalf("dateigroesse von %q ermitteln: %v", path, err)
|
||||
}
|
||||
return info.Size()
|
||||
}
|
||||
|
||||
// TestVerify_DetectsCorruptedFile ist Pruefung 2: Verifikation erkennt eine
|
||||
// absichtlich beschaedigte Sicherungsdatei.
|
||||
func TestVerify_DetectsCorruptedFile(t *testing.T) {
|
||||
cfg := requireTestConfig(t)
|
||||
ctx := context.Background()
|
||||
|
||||
genID := NewGenerationID(time.Now())
|
||||
manifest, err := FullBackup(ctx, cfg, genID)
|
||||
if err != nil {
|
||||
t.Fatalf("fullbackup: %v", err)
|
||||
}
|
||||
dir := filepath.Dir(manifest)
|
||||
|
||||
if err := Verify(dir); err != nil {
|
||||
t.Fatalf("verify (unbeschaedigt) haette erfolgreich sein muessen: %v", err)
|
||||
}
|
||||
|
||||
// Absichtliche Beschaedigung: mehrere Bytes in der Mitte der Datei kippen.
|
||||
path := filepath.Join(dir, BaseTarGzFile)
|
||||
data, err := os.ReadFile(path)
|
||||
if err != nil {
|
||||
t.Fatalf("sicherungsdatei lesen: %v", err)
|
||||
}
|
||||
mid := len(data) / 2
|
||||
for i := mid; i < mid+64 && i < len(data); i++ {
|
||||
data[i] ^= 0xFF
|
||||
}
|
||||
if err := os.WriteFile(path, data, 0o600); err != nil {
|
||||
t.Fatalf("beschaedigte sicherungsdatei schreiben: %v", err)
|
||||
}
|
||||
|
||||
if err := Verify(dir); err == nil {
|
||||
t.Fatal("verify haette die beschaedigte sicherungsdatei erkennen muessen")
|
||||
}
|
||||
}
|
||||
|
||||
// TestRotate_RemovesOnlyOldestGenerations ist Pruefung 3.
|
||||
func TestRotate_RemovesOnlyOldestGenerations(t *testing.T) {
|
||||
backupDir := t.TempDir()
|
||||
generationIDs := []string{
|
||||
"20260101T000000Z",
|
||||
"20260102T000000Z",
|
||||
"20260103T000000Z",
|
||||
"20260104T000000Z",
|
||||
"20260105T000000Z",
|
||||
}
|
||||
for _, id := range generationIDs {
|
||||
if err := os.MkdirAll(filepath.Join(backupDir, id, FullBackupDirName), 0o750); err != nil {
|
||||
t.Fatalf("generation %q anlegen: %v", id, err)
|
||||
}
|
||||
}
|
||||
|
||||
removed, err := Rotate(backupDir, 2)
|
||||
if err != nil {
|
||||
t.Fatalf("rotate: %v", err)
|
||||
}
|
||||
wantRemoved := []string{"20260101T000000Z", "20260102T000000Z", "20260103T000000Z"}
|
||||
if len(removed) != len(wantRemoved) {
|
||||
t.Fatalf("entfernte generationen = %v, want %v", removed, wantRemoved)
|
||||
}
|
||||
for i, w := range wantRemoved {
|
||||
if removed[i] != w {
|
||||
t.Fatalf("entfernte generationen = %v, want %v", removed, wantRemoved)
|
||||
}
|
||||
}
|
||||
|
||||
remaining, err := ListGenerations(backupDir)
|
||||
if err != nil {
|
||||
t.Fatalf("listgenerations: %v", err)
|
||||
}
|
||||
wantRemaining := []string{"20260104T000000Z", "20260105T000000Z"}
|
||||
if len(remaining) != len(wantRemaining) {
|
||||
t.Fatalf("verbleibende generationen = %v, want %v", remaining, wantRemaining)
|
||||
}
|
||||
for i, w := range wantRemaining {
|
||||
if remaining[i] != w {
|
||||
t.Fatalf("verbleibende generationen = %v, want %v", remaining, wantRemaining)
|
||||
}
|
||||
}
|
||||
|
||||
// Die NEUESTEN duerfen NICHT entfernt sein (Pruefung 3: nur die
|
||||
// aeltesten Generationen).
|
||||
for _, w := range wantRemaining {
|
||||
if _, err := os.Stat(filepath.Join(backupDir, w)); err != nil {
|
||||
t.Fatalf("neueste generation %q wurde faelschlich entfernt: %v", w, err)
|
||||
}
|
||||
}
|
||||
}
|
||||
@@ -1,56 +0,0 @@
|
||||
package backup
|
||||
|
||||
import (
|
||||
"fmt"
|
||||
"os"
|
||||
"path/filepath"
|
||||
"sort"
|
||||
)
|
||||
|
||||
// ListGenerations liefert alle Generation-IDs in backupDir, aufsteigend
|
||||
// sortiert (die GenerationID selbst ist chronologisch sortierbar, siehe
|
||||
// NewGenerationID — kein Blick auf Dateisystem-Zeitstempel nötig, die bei
|
||||
// einem Restore/Kopiervorgang verändert werden könnten).
|
||||
func ListGenerations(backupDir string) ([]string, error) {
|
||||
entries, err := os.ReadDir(backupDir)
|
||||
if err != nil {
|
||||
if os.IsNotExist(err) {
|
||||
return nil, nil
|
||||
}
|
||||
return nil, fmt.Errorf("backup: sicherungsverzeichnis lesen: %w", err)
|
||||
}
|
||||
var generations []string
|
||||
for _, e := range entries {
|
||||
if e.IsDir() {
|
||||
generations = append(generations, e.Name())
|
||||
}
|
||||
}
|
||||
sort.Strings(generations)
|
||||
return generations, nil
|
||||
}
|
||||
|
||||
// Rotate entfernt alle bis auf die `keep` NEUESTEN Generationen
|
||||
// (Akzeptanzkriterium 3) — jede Generation umfasst ihre Vollsicherung UND
|
||||
// alle davon abhängigen Inkremente, ein Löschen der gesamten
|
||||
// Generationsverzeichnisses entfernt beides konsistent zusammen.
|
||||
func Rotate(backupDir string, keep int) (removed []string, err error) {
|
||||
if keep < 0 {
|
||||
keep = 0
|
||||
}
|
||||
generations, err := ListGenerations(backupDir)
|
||||
if err != nil {
|
||||
return nil, err
|
||||
}
|
||||
if len(generations) <= keep {
|
||||
return nil, nil
|
||||
}
|
||||
|
||||
toRemove := generations[:len(generations)-keep]
|
||||
for _, gen := range toRemove {
|
||||
if err := os.RemoveAll(filepath.Join(backupDir, gen)); err != nil {
|
||||
return removed, fmt.Errorf("backup: generation %q entfernen: %w", gen, err)
|
||||
}
|
||||
removed = append(removed, gen)
|
||||
}
|
||||
return removed, nil
|
||||
}
|
||||
@@ -1,54 +0,0 @@
|
||||
package backup
|
||||
|
||||
import (
|
||||
"archive/tar"
|
||||
"compress/gzip"
|
||||
"fmt"
|
||||
"io"
|
||||
"os"
|
||||
"path/filepath"
|
||||
)
|
||||
|
||||
// ErrCorrupted wird geliefert, wenn eine Sicherungsdatei nicht lesbar ist
|
||||
// (Akzeptanzkriterium 2: Verifikation, nicht nur Erstellungs-Prüfung).
|
||||
var ErrCorrupted = fmt.Errorf("backup: sicherungsdatei ist beschaedigt oder unvollstaendig")
|
||||
|
||||
// Verify prüft, dass base.tar.gz im gegebenen Sicherungsverzeichnis
|
||||
// vollständig lesbar ist — öffnet gzip- UND tar-Stream und liest JEDEN
|
||||
// Eintrag bis zum Ende durch (nicht nur die Kopfdaten), damit ein
|
||||
// abgeschnittener oder mit kaputten Bytes überschriebener Inhalt
|
||||
// zuverlässig auffällt, nicht nur ein defekter Tar-Header.
|
||||
func Verify(backupDir string) error {
|
||||
path := filepath.Join(backupDir, BaseTarGzFile)
|
||||
f, err := os.Open(path)
|
||||
if err != nil {
|
||||
return fmt.Errorf("%w: %s nicht lesbar: %v", ErrCorrupted, path, err)
|
||||
}
|
||||
defer func() { _ = f.Close() }()
|
||||
|
||||
gz, err := gzip.NewReader(f)
|
||||
if err != nil {
|
||||
return fmt.Errorf("%w: gzip-header ungueltig: %v", ErrCorrupted, err)
|
||||
}
|
||||
defer func() { _ = gz.Close() }()
|
||||
|
||||
tr := tar.NewReader(gz)
|
||||
entries := 0
|
||||
for {
|
||||
hdr, err := tr.Next()
|
||||
if err == io.EOF {
|
||||
break
|
||||
}
|
||||
if err != nil {
|
||||
return fmt.Errorf("%w: tar-eintrag ungueltig: %v", ErrCorrupted, err)
|
||||
}
|
||||
if _, err := io.Copy(io.Discard, tr); err != nil {
|
||||
return fmt.Errorf("%w: inhalt von %q nicht vollstaendig lesbar: %v", ErrCorrupted, hdr.Name, err)
|
||||
}
|
||||
entries++
|
||||
}
|
||||
if entries == 0 {
|
||||
return fmt.Errorf("%w: archiv enthaelt keine eintraege", ErrCorrupted)
|
||||
}
|
||||
return nil
|
||||
}
|
||||
@@ -0,0 +1,41 @@
|
||||
// Command pflichttestgate ist das CI-Gate aus docs/TESTSTRATEGIE-CORE.md Abschnitt 5.
|
||||
// Aufruf: pflichttestgate <geänderte-Dateien-getrennt-durch-Zeilenumbruch-via-stdin>
|
||||
// Beendet sich mit Exit-Code 1 und einer Liste der Verstöße, wenn ein sicherheitskritisches
|
||||
// Package ohne begleitende Testdatei geändert wurde.
|
||||
package main
|
||||
|
||||
import (
|
||||
"bufio"
|
||||
"fmt"
|
||||
"os"
|
||||
|
||||
"gitea.perlbach24.de/scripte/nexarch/internal/pflichttestgate"
|
||||
)
|
||||
|
||||
func main() {
|
||||
var changedFiles []string
|
||||
scanner := bufio.NewScanner(os.Stdin)
|
||||
for scanner.Scan() {
|
||||
line := scanner.Text()
|
||||
if line != "" {
|
||||
changedFiles = append(changedFiles, line)
|
||||
}
|
||||
}
|
||||
if err := scanner.Err(); err != nil {
|
||||
fmt.Fprintf(os.Stderr, "pflichttestgate: Eingabe konnte nicht gelesen werden: %v\n", err)
|
||||
os.Exit(2)
|
||||
}
|
||||
|
||||
violations := pflichttestgate.CheckDiff(changedFiles)
|
||||
if len(violations) == 0 {
|
||||
fmt.Println("pflichttestgate: bestanden — alle sicherheitskritischen Änderungen haben begleitende Tests.")
|
||||
return
|
||||
}
|
||||
|
||||
fmt.Fprintln(os.Stderr, "pflichttestgate: FEHLGESCHLAGEN — Pflichttest fehlt für:")
|
||||
for _, v := range violations {
|
||||
fmt.Fprintf(os.Stderr, " - Package %q (Datei %q hat keine begleitende _test.go-Änderung)\n", v.Package, v.ChangedFile)
|
||||
}
|
||||
fmt.Fprintln(os.Stderr, "\nSiehe docs/TESTSTRATEGIE-CORE.md Abschnitt 3.")
|
||||
os.Exit(1)
|
||||
}
|
||||
@@ -1,9 +0,0 @@
|
||||
[Unit]
|
||||
Description=NEXARCH Archive - Datenbank-Vollsicherung (BAK-01)
|
||||
After=network.target postgresql.service
|
||||
|
||||
[Service]
|
||||
Type=oneshot
|
||||
User=nexarch
|
||||
EnvironmentFile=/etc/nexarch/archive-backup.env
|
||||
ExecStart=__INSTALL_DIR__/bin/backup-cli full
|
||||
@@ -1,9 +0,0 @@
|
||||
[Unit]
|
||||
Description=Taeglicher Zeitplan fuer NEXARCH Archive Datenbank-Vollsicherung (BAK-01)
|
||||
|
||||
[Timer]
|
||||
OnCalendar=*-*-* 02:00:00
|
||||
Persistent=true
|
||||
|
||||
[Install]
|
||||
WantedBy=timers.target
|
||||
@@ -1,9 +0,0 @@
|
||||
[Unit]
|
||||
Description=NEXARCH Archive - Datenbank-Inkrementalsicherung (BAK-01)
|
||||
After=network.target postgresql.service
|
||||
|
||||
[Service]
|
||||
Type=oneshot
|
||||
User=nexarch
|
||||
EnvironmentFile=/etc/nexarch/archive-backup.env
|
||||
ExecStart=__INSTALL_DIR__/bin/backup-cli incremental
|
||||
@@ -1,9 +0,0 @@
|
||||
[Unit]
|
||||
Description=Stuendlicher Zeitplan fuer NEXARCH Archive Datenbank-Inkrementalsicherung (BAK-01)
|
||||
|
||||
[Timer]
|
||||
OnCalendar=*-*-* *:00:00
|
||||
Persistent=true
|
||||
|
||||
[Install]
|
||||
WantedBy=timers.target
|
||||
@@ -1,9 +0,0 @@
|
||||
[Unit]
|
||||
Description=NEXARCH Archive - Sicherungsgenerationen-Rotation (BAK-01)
|
||||
After=network.target
|
||||
|
||||
[Service]
|
||||
Type=oneshot
|
||||
User=nexarch
|
||||
EnvironmentFile=/etc/nexarch/archive-backup.env
|
||||
ExecStart=__INSTALL_DIR__/bin/backup-cli rotate
|
||||
@@ -1,9 +0,0 @@
|
||||
[Unit]
|
||||
Description=Taeglicher Zeitplan fuer NEXARCH Archive Sicherungsgenerationen-Rotation (BAK-01)
|
||||
|
||||
[Timer]
|
||||
OnCalendar=*-*-* 03:00:00
|
||||
Persistent=true
|
||||
|
||||
[Install]
|
||||
WantedBy=timers.target
|
||||
@@ -0,0 +1,81 @@
|
||||
# NEXARCH Core – Teststrategie
|
||||
|
||||
Stand: 2026-08-28. Ticket: QA-01.
|
||||
|
||||
## 1. Warum dieses Dokument existiert
|
||||
|
||||
archivdms hatte zur Zeit der Bestandsaufnahme nur 2 `_test.go`-Dateien in ganz `internal/`, davon 0 für
|
||||
`auth`/`storage`/`permissions.go`. archivmail testete 2 von 18 Modulen. Beide Lücken wurden erst im
|
||||
Betrieb entdeckt, nicht vor dem Merge. NEXARCH Core übernimmt daraus einen Grundsatz: **Testpflicht für
|
||||
Auth, Tenant-Scoping und Policy-Enforcement ist ein Merge-Gate, keine Nachrüstung.**
|
||||
|
||||
## 2. Testpyramide
|
||||
|
||||
| Ebene | Werkzeug | Umfang |
|
||||
|---|---|---|
|
||||
| Unit | `go test` (Standardbibliothek) | Einzelne Funktionen/Typen, keine externe Abhängigkeit (DB, Netzwerk) |
|
||||
| Integration | `go test` gegen echte PostgreSQL-Instanz (`nexarch_test`-Rolle) | Repository-/Handler-Schicht, Tenant-Scoping, Policy-Enforcement |
|
||||
| Vertragstests | `internal/contracttest` (siehe QA-07) | Öffentliche API-Verträge zwischen Core und Modulen |
|
||||
| Last-/Leistungstests | `internal/loadtest` (siehe QA-08) | Mehrmodul-Last, JWT-Verifikation, Connection-Pooling |
|
||||
| Extern | Core `QA-06` Penetrationstest | Vor Produktivbetrieb, außerhalb dieses CI-Gates |
|
||||
|
||||
Diese Kachel (QA-01) legt die Pflichtebenen fest und erzwingt sie technisch für die drei sicherheitskritischsten Bereiche; sie ersetzt nicht QA-07/QA-08, die eigene, bereits umgesetzte CI-Gates haben.
|
||||
|
||||
## 3. Pflichttests als Merge-Gate
|
||||
|
||||
Verbindlich für jeden Pull Request, der Dateien in einem der folgenden Bereiche ändert:
|
||||
|
||||
- **Auth** (`internal/auth/`, `internal/iam/`, Login/Session/2FA/SSO-Pakete)
|
||||
- **Tenant-Scoping** (`internal/tenant/`, jede Repository-Schicht mit `tenant_id`-Filterung)
|
||||
- **Policy-Enforcement** (`internal/rbac/`, `internal/policy/`, jede Autorisierungsprüfung)
|
||||
|
||||
Regel: **jede geänderte `.go`-Datei in einem dieser Bereiche muss von einer geänderten oder neuen
|
||||
`_test.go`-Datei im selben Package begleitet sein.** Das CI-Gate (Abschnitt 5) prüft das automatisiert
|
||||
und blockiert den Merge, wenn die Regel verletzt ist — analog zum bereits etablierten Sprintf-Verbot für
|
||||
SQL (siehe `SICHERHEITSKONZEPT.md`), nur als technisch erzwungene statt nur dokumentierte Regel.
|
||||
|
||||
Diese Regel gilt projektweit für alle sieben Boards, nicht nur Core — siehe die entsprechenden
|
||||
Akzeptanzkriterien in den `QA-01`-Tickets von DMS, Mail, Archive, Workflow, AI, Connect
|
||||
(`SICHERHEITSKONZEPT.md` Abschnitt 11, Punkt 8, 2026-08-28 geklärt).
|
||||
|
||||
## 4. Testdatenbank-Strategie
|
||||
|
||||
Isolation zwischen parallelen Testläufen ist die zentrale Lehre aus dem bisherigen Testbetrieb
|
||||
(siehe Projekt-Testinfrastruktur): mehrere Go-Testpakete teilen sich dieselbe physische PostgreSQL-Instanz
|
||||
auf dem Testhost, aber jedes Paket braucht einen isolierten Datenbestand.
|
||||
|
||||
- **Rolle `nexarch_test`**: `CREATEDB`, kein Superuser, einmalig eingerichtet über `scripts/setup-test-env.sh`.
|
||||
- **Reset vor jedem Testlauf**: `scripts/reset-test-env.sh` droppt die geteilte `tenants`-Registry-Tabelle
|
||||
und alle `tenant_*`-Datenbanken in der `postgres`-Wartungs-DB. Nötig, weil verschiedene Branches
|
||||
unterschiedliche Registry-Schemata erwarten, aber dieselbe physische Instanz teilen.
|
||||
- **`-p 1` ist Pflicht** für `go test ./...`, sobald mehrere Pakete gegen die geteilte Registry-Tabelle
|
||||
testen (z. B. `internal/tenant` + `internal/migrate`). Ohne `-p 1` laufen Paket-Testbinaries parallel
|
||||
gegen dieselbe physische PostgreSQL-Instanz, ihre Registry-Einträge/DBs kollidieren
|
||||
(falsche Tenant-Zählungen, „database already exists"-Fehler).
|
||||
- **Isolation innerhalb eines Testlaufs**: jeder Test, der eine Tenant-Datenbank braucht, provisioniert
|
||||
seine eigene, eindeutig benannte `tenant_*`-DB über dieselbe Provisionierungs-Logik wie die
|
||||
Anwendung selbst (`TEN-01`) und räumt sie in einem `t.Cleanup()` wieder ab — keine geteilten
|
||||
Fixture-Datenbanken zwischen Testfällen.
|
||||
|
||||
Siehe `internal/testdbisolation/isolation_test.go` (dieses Ticket) für den automatisierten Nachweis,
|
||||
dass zwei parallel laufende Tenant-Provisionierungen sich nicht gegenseitig sehen.
|
||||
|
||||
## 5. CI-Gate
|
||||
|
||||
`.gitea/workflows/pflichttest-gate.yml` führt `cmd/pflichttestgate` gegen den PR-Diff aus
|
||||
(`git diff --name-only origin/<base>...HEAD`). Das Programm:
|
||||
|
||||
1. Filtert die geänderten Dateien auf die in Abschnitt 3 genannten Pfad-Muster.
|
||||
2. Prüft je betroffenem Go-Package, ob mindestens eine `_test.go`-Datei desselben Packages ebenfalls
|
||||
im Diff enthalten ist.
|
||||
3. Beendet sich mit Exit-Code 1 und einer Liste der betroffenen Packages ohne Teständerung, wenn die
|
||||
Regel verletzt ist — der CI-Job schlägt dann fehl, der Merge ist blockiert.
|
||||
|
||||
Negativtest des Gates selbst: `internal/pflichttestgate/gate_test.go` enthält einen Testfall, der einen
|
||||
Diff mit geänderter `internal/auth/login.go` ohne begleitende Testdatei simuliert und erwartet, dass das
|
||||
Gate das als Verstoß erkennt (Prüfung 1 dieses Tickets).
|
||||
|
||||
## 6. Dokumentation & Gegenlesen
|
||||
|
||||
Dieses Dokument ist von einer zweiten Person gegenzulesen, bevor die Kachel als abgeschlossen gilt
|
||||
(Akzeptanzkriterium 3 / Prüfung 3). Fund/Freigabe wird im Pull Request vermerkt.
|
||||
@@ -0,0 +1,28 @@
|
||||
github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
|
||||
github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
|
||||
github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
|
||||
github.com/jackc/pgpassfile v1.0.0 h1:/6Hmqy13Ss2zCq62VdNG8tM1wchn8zjSGOBJ6icpsIM=
|
||||
github.com/jackc/pgpassfile v1.0.0/go.mod h1:CEx0iS5ambNFdcRtxPj5JhEz+xB6uRky5eyVu/W2HEg=
|
||||
github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a h1:bbPeKD0xmW/Y25WS6cokEszi5g+S0QxI/d45PkRi7Nk=
|
||||
github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a/go.mod h1:5TJZWKEWniPve33vlWYSoGYefn3gLQRzjfDlhSJ9ZKM=
|
||||
github.com/jackc/pgx/v5 v5.6.0 h1:SWJzexBzPL5jb0GEsrPMLIsi/3jOo7RHlzTjcAeDrPY=
|
||||
github.com/jackc/pgx/v5 v5.6.0/go.mod h1:DNZ/vlrUnhWCoFGxHAG8U2ljioxukquj7utPDgtQdTw=
|
||||
github.com/jackc/puddle/v2 v2.2.1 h1:RhxXJtFG022u4ibrCSMSiu5aOq1i77R3OHKNJj77OAk=
|
||||
github.com/jackc/puddle/v2 v2.2.1/go.mod h1:vriiEXHvEE654aYKXXjOvZM39qJ0q+azkZFrfEOc3H4=
|
||||
github.com/pmezard/go-difflib v1.0.0 h1:4DBwDE0NGyQoBHbLQYPwSUPoCMWR5BEzIk/f1lZbAQM=
|
||||
github.com/pmezard/go-difflib v1.0.0/go.mod h1:iKH77koFhYxTK1pcRnkKkqfTogsbg7gZNVY4sRDYZ/4=
|
||||
github.com/stretchr/objx v0.1.0/go.mod h1:HFkY916IF+rwdDfMAkV7OtwuqBVzrE8GR6GFx+wExME=
|
||||
github.com/stretchr/testify v1.3.0/go.mod h1:M5WIy9Dh21IEIfnGCwXGc5bZfKNJtfHm1UVUgZn+9EI=
|
||||
github.com/stretchr/testify v1.7.0/go.mod h1:6Fq8oRcR53rry900zMqJjRRixrwX3KX962/h/Wwjteg=
|
||||
github.com/stretchr/testify v1.8.1 h1:w7B6lhMri9wdJUVmEZPGGhZzrYTPvgJArz7wNPgYKsk=
|
||||
github.com/stretchr/testify v1.8.1/go.mod h1:w2LPCIKwWwSfY2zedu0+kehJoqGctiVI29o6fzry7u4=
|
||||
golang.org/x/crypto v0.17.0 h1:r8bRNjWL3GshPW3gkd+RpvzWrZAwPS49OmTGZ/uhM4k=
|
||||
golang.org/x/crypto v0.17.0/go.mod h1:gCAAfMLgwOJRpTjQ2zCCt2OcSfYMTeZVSRtQlPC7Nq4=
|
||||
golang.org/x/sync v0.1.0 h1:wsuoTGHzEhffawBOhz5CYhcrV4IdKZbEyZjBMuTp12o=
|
||||
golang.org/x/sync v0.1.0/go.mod h1:RxMgew5VJxzue5/jJTE5uejpjVlOe/izrB70Jof72aM=
|
||||
golang.org/x/text v0.14.0 h1:ScX5w1eTa3QqT8oi6+ziP7dTV1S2+ALU0bI+0zXKWiQ=
|
||||
golang.org/x/text v0.14.0/go.mod h1:18ZOQIKpY8NJVqYksKHtTdi31H5itFRjB5/qKTNYzSU=
|
||||
gopkg.in/check.v1 v0.0.0-20161208181325-20d25e280405/go.mod h1:Co6ibVJAznAaIkqp8huTwlJQCZ016jof/cbN4VW5Yz0=
|
||||
gopkg.in/yaml.v3 v3.0.0-20200313102051-9f266ea9e77c/go.mod h1:K4uyk7z7BCEPqu6E+C64Yfv1cQ7kz7rIZviUmN+EgEM=
|
||||
gopkg.in/yaml.v3 v3.0.1 h1:fxVm/GzAzEWqLHuvctI91KS9hhNmmWOoWu0XTYJS7CA=
|
||||
gopkg.in/yaml.v3 v3.0.1/go.mod h1:K4uyk7z7BCEPqu6E+C64Yfv1cQ7kz7rIZviUmN+EgEM=
|
||||
@@ -0,0 +1,67 @@
|
||||
// Package pflichttestgate erzwingt die in docs/TESTSTRATEGIE-CORE.md Abschnitt 3 festgelegte Regel:
|
||||
// jede geänderte Go-Datei in einem sicherheitskritischen Bereich (Auth, Tenant-Scoping, Policy)
|
||||
// muss von einer geänderten oder neuen _test.go-Datei im selben Package begleitet sein.
|
||||
package pflichttestgate
|
||||
|
||||
import (
|
||||
"path"
|
||||
"regexp"
|
||||
"strings"
|
||||
)
|
||||
|
||||
// sensitivePathPatterns beschreibt die Bereiche aus TESTSTRATEGIE-CORE.md Abschnitt 3.
|
||||
var sensitivePathPatterns = []*regexp.Regexp{
|
||||
regexp.MustCompile(`(^|/)internal/auth/`),
|
||||
regexp.MustCompile(`(^|/)internal/iam/`),
|
||||
regexp.MustCompile(`(^|/)internal/tenant/`),
|
||||
regexp.MustCompile(`(^|/)internal/rbac/`),
|
||||
regexp.MustCompile(`(^|/)internal/policy/`),
|
||||
}
|
||||
|
||||
// Violation beschreibt ein Package mit sicherheitskritischer Änderung ohne begleitende Testdatei.
|
||||
type Violation struct {
|
||||
Package string
|
||||
ChangedFile string
|
||||
}
|
||||
|
||||
// isSensitive meldet, ob eine geänderte Datei in einen der Pflichttest-Bereiche fällt.
|
||||
func isSensitive(file string) bool {
|
||||
if !strings.HasSuffix(file, ".go") || strings.HasSuffix(file, "_test.go") {
|
||||
return false
|
||||
}
|
||||
for _, re := range sensitivePathPatterns {
|
||||
if re.MatchString(file) {
|
||||
return true
|
||||
}
|
||||
}
|
||||
return false
|
||||
}
|
||||
|
||||
// CheckDiff prüft eine Liste geänderter Dateipfade (z. B. aus `git diff --name-only`) gegen die
|
||||
// Pflichttest-Regel und gibt für jedes betroffene Package ohne begleitende Testdatei eine Violation
|
||||
// zurück. Ein leeres Ergebnis bedeutet: Gate besteht.
|
||||
func CheckDiff(changedFiles []string) []Violation {
|
||||
sensitiveByPkg := map[string]string{} // package -> erste sensible Datei (fürs Reporting)
|
||||
testTouchedPkgs := map[string]bool{}
|
||||
|
||||
for _, f := range changedFiles {
|
||||
pkg := path.Dir(f)
|
||||
if strings.HasSuffix(f, "_test.go") {
|
||||
testTouchedPkgs[pkg] = true
|
||||
continue
|
||||
}
|
||||
if isSensitive(f) {
|
||||
if _, seen := sensitiveByPkg[pkg]; !seen {
|
||||
sensitiveByPkg[pkg] = f
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
var violations []Violation
|
||||
for pkg, file := range sensitiveByPkg {
|
||||
if !testTouchedPkgs[pkg] {
|
||||
violations = append(violations, Violation{Package: pkg, ChangedFile: file})
|
||||
}
|
||||
}
|
||||
return violations
|
||||
}
|
||||
@@ -0,0 +1,84 @@
|
||||
package pflichttestgate
|
||||
|
||||
import "testing"
|
||||
|
||||
// Prüfung 1 (QA-01): CI-Lauf mit absichtlich fehlendem Pflichttest schlägt kontrolliert fehl —
|
||||
// Negativtest des Gates selbst.
|
||||
func TestCheckDiff_BlocksAuthChangeWithoutTest(t *testing.T) {
|
||||
changed := []string{
|
||||
"internal/auth/login.go",
|
||||
"internal/apiserver/handler.go", // unkritisch, keine Testpflicht
|
||||
}
|
||||
|
||||
violations := CheckDiff(changed)
|
||||
|
||||
if len(violations) != 1 {
|
||||
t.Fatalf("erwartet 1 Verstoß, bekommen %d: %+v", len(violations), violations)
|
||||
}
|
||||
if violations[0].Package != "internal/auth" {
|
||||
t.Errorf("erwartetes Package internal/auth, bekommen %q", violations[0].Package)
|
||||
}
|
||||
if violations[0].ChangedFile != "internal/auth/login.go" {
|
||||
t.Errorf("erwartete Datei internal/auth/login.go, bekommen %q", violations[0].ChangedFile)
|
||||
}
|
||||
}
|
||||
|
||||
func TestCheckDiff_PassesWhenTestFileAccompaniesChange(t *testing.T) {
|
||||
changed := []string{
|
||||
"internal/auth/login.go",
|
||||
"internal/auth/login_test.go",
|
||||
}
|
||||
|
||||
violations := CheckDiff(changed)
|
||||
|
||||
if len(violations) != 0 {
|
||||
t.Fatalf("erwartet keinen Verstoß, bekommen %+v", violations)
|
||||
}
|
||||
}
|
||||
|
||||
func TestCheckDiff_PassesForNewTestFileEvenWithoutSourceChange(t *testing.T) {
|
||||
// Nachtraeglich ergaenzter Test fuer bestehenden Code ist erlaubt/erwuenscht.
|
||||
changed := []string{"internal/tenant/registry_test.go"}
|
||||
|
||||
violations := CheckDiff(changed)
|
||||
|
||||
if len(violations) != 0 {
|
||||
t.Fatalf("erwartet keinen Verstoß, bekommen %+v", violations)
|
||||
}
|
||||
}
|
||||
|
||||
func TestCheckDiff_IgnoresUnrelatedPackages(t *testing.T) {
|
||||
changed := []string{"internal/config/config.go", "internal/db/db.go"}
|
||||
|
||||
violations := CheckDiff(changed)
|
||||
|
||||
if len(violations) != 0 {
|
||||
t.Fatalf("erwartet keinen Verstoß fuer unkritische Pakete, bekommen %+v", violations)
|
||||
}
|
||||
}
|
||||
|
||||
func TestCheckDiff_CoversAllSensitiveAreas(t *testing.T) {
|
||||
cases := []string{
|
||||
"internal/auth/session.go",
|
||||
"internal/iam/user.go",
|
||||
"internal/tenant/provisioner.go",
|
||||
"internal/rbac/enforcer.go",
|
||||
"internal/policy/decision.go",
|
||||
}
|
||||
for _, f := range cases {
|
||||
violations := CheckDiff([]string{f})
|
||||
if len(violations) != 1 {
|
||||
t.Errorf("Datei %q sollte als sensibel erkannt werden, Verstöße: %+v", f, violations)
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
func TestCheckDiff_IgnoresNonGoFiles(t *testing.T) {
|
||||
changed := []string{"internal/auth/README.md"}
|
||||
|
||||
violations := CheckDiff(changed)
|
||||
|
||||
if len(violations) != 0 {
|
||||
t.Fatalf("Nicht-Go-Dateien duerfen keine Testpflicht ausloesen, bekommen %+v", violations)
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,76 @@
|
||||
// Package testdbisolation demonstriert und prüft die in docs/TESTSTRATEGIE-CORE.md Abschnitt 4
|
||||
// beschriebene Testdatenbank-Isolation: jeder Test, der eine Tenant-Datenbank braucht,
|
||||
// provisioniert seine eigene, eindeutig benannte DB und räumt sie über Cleanup wieder ab —
|
||||
// keine geteilten Fixture-Datenbanken zwischen parallelen Testläufen.
|
||||
package testdbisolation
|
||||
|
||||
import (
|
||||
"context"
|
||||
"fmt"
|
||||
|
||||
"github.com/jackc/pgx/v5"
|
||||
"github.com/jackc/pgx/v5/pgxpool"
|
||||
)
|
||||
|
||||
// ProvisionEphemeralDB legt unter dem gegebenen Admin-DSN eine neue, eindeutig benannte Datenbank an
|
||||
// und liefert eine Cleanup-Funktion, die sie wieder droppt. adminDSN muss auf eine Wartungs-DB
|
||||
// (z. B. "postgres") zeigen, name muss ein gültiger, bereits eindeutiger Bezeichner sein.
|
||||
func ProvisionEphemeralDB(ctx context.Context, adminDSN, name string) (cleanup func(context.Context) error, err error) {
|
||||
conn, err := pgx.Connect(ctx, adminDSN)
|
||||
if err != nil {
|
||||
return nil, fmt.Errorf("verbindung zur wartungs-db fehlgeschlagen: %w", err)
|
||||
}
|
||||
defer conn.Close(ctx)
|
||||
|
||||
if _, err := conn.Exec(ctx, fmt.Sprintf("CREATE DATABASE %s", pgx.Identifier{name}.Sanitize())); err != nil {
|
||||
return nil, fmt.Errorf("datenbank %q konnte nicht angelegt werden: %w", name, err)
|
||||
}
|
||||
|
||||
cleanup = func(cleanupCtx context.Context) error {
|
||||
adminConn, err := pgx.Connect(cleanupCtx, adminDSN)
|
||||
if err != nil {
|
||||
return fmt.Errorf("cleanup: verbindung fehlgeschlagen: %w", err)
|
||||
}
|
||||
defer adminConn.Close(cleanupCtx)
|
||||
_, err = adminConn.Exec(cleanupCtx, fmt.Sprintf("DROP DATABASE IF EXISTS %s", pgx.Identifier{name}.Sanitize()))
|
||||
return err
|
||||
}
|
||||
return cleanup, nil
|
||||
}
|
||||
|
||||
// WriteMarker schreibt einen eindeutigen Beleg-Datensatz in die angegebene Datenbank (verbindet
|
||||
// per dsnForDB), um im Test nachzuweisen, dass zwei parallele Provisionierungen sich nicht sehen.
|
||||
func WriteMarker(ctx context.Context, dsn, table, value string) error {
|
||||
pool, err := pgxpool.New(ctx, dsn)
|
||||
if err != nil {
|
||||
return err
|
||||
}
|
||||
defer pool.Close()
|
||||
|
||||
if _, err := pool.Exec(ctx, fmt.Sprintf(
|
||||
"CREATE TABLE IF NOT EXISTS %s (value text primary key)", pgx.Identifier{table}.Sanitize(),
|
||||
)); err != nil {
|
||||
return err
|
||||
}
|
||||
_, err = pool.Exec(ctx, fmt.Sprintf("INSERT INTO %s (value) VALUES ($1)", pgx.Identifier{table}.Sanitize()), value)
|
||||
return err
|
||||
}
|
||||
|
||||
// CountMarkers zählt die Belegzeilen in der angegebenen Datenbank/Tabelle.
|
||||
func CountMarkers(ctx context.Context, dsn, table string) (int, error) {
|
||||
pool, err := pgxpool.New(ctx, dsn)
|
||||
if err != nil {
|
||||
return 0, err
|
||||
}
|
||||
defer pool.Close()
|
||||
|
||||
if _, err := pool.Exec(ctx, fmt.Sprintf(
|
||||
"CREATE TABLE IF NOT EXISTS %s (value text primary key)", pgx.Identifier{table}.Sanitize(),
|
||||
)); err != nil {
|
||||
return 0, err
|
||||
}
|
||||
|
||||
var n int
|
||||
err = pool.QueryRow(ctx, fmt.Sprintf("SELECT count(*) FROM %s", pgx.Identifier{table}.Sanitize())).Scan(&n)
|
||||
return n, err
|
||||
}
|
||||
@@ -0,0 +1,99 @@
|
||||
package testdbisolation
|
||||
|
||||
import (
|
||||
"context"
|
||||
"fmt"
|
||||
"os"
|
||||
"strings"
|
||||
"sync"
|
||||
"testing"
|
||||
"time"
|
||||
)
|
||||
|
||||
// TestParallelProvisioning_AreIsolated ist der automatisierte Nachweis für QA-01 Prüfung 2:
|
||||
// Testdatenbank-Isolation zwischen parallelen Testläufen. Zwei Provisionierungen laufen
|
||||
// gleichzeitig, jede schreibt einen Beleg-Datensatz in ihre eigene DB — keine darf den
|
||||
// Beleg der jeweils anderen sehen.
|
||||
//
|
||||
// Braucht TEST_ADMIN_DSN (siehe Projekt-Testinfrastruktur), läuft auf dem Testhost, nicht lokal
|
||||
// auf der Entwicklungsmaschine (siehe "no installs"-Regel) — wird ohne gesetzte Variable übersprungen.
|
||||
func TestParallelProvisioning_AreIsolated(t *testing.T) {
|
||||
adminDSN := os.Getenv("TEST_ADMIN_DSN")
|
||||
if adminDSN == "" {
|
||||
t.Skip("TEST_ADMIN_DSN nicht gesetzt — Test läuft nur auf dem Testhost, siehe docs/TESTSTRATEGIE-CORE.md")
|
||||
}
|
||||
|
||||
ctx, cancel := context.WithTimeout(context.Background(), 30*time.Second)
|
||||
defer cancel()
|
||||
|
||||
const numParallel = 2
|
||||
dbNames := make([]string, numParallel)
|
||||
for i := range dbNames {
|
||||
dbNames[i] = fmt.Sprintf("qa01_isolation_%d_%d", time.Now().UnixNano(), i)
|
||||
}
|
||||
|
||||
var wg sync.WaitGroup
|
||||
errs := make([]error, numParallel)
|
||||
cleanups := make([]func(context.Context) error, numParallel)
|
||||
|
||||
for i, name := range dbNames {
|
||||
wg.Add(1)
|
||||
go func(idx int, dbName string) {
|
||||
defer wg.Done()
|
||||
|
||||
cleanup, err := ProvisionEphemeralDB(ctx, adminDSN, dbName)
|
||||
if err != nil {
|
||||
errs[idx] = fmt.Errorf("provisionierung %d fehlgeschlagen: %w", idx, err)
|
||||
return
|
||||
}
|
||||
cleanups[idx] = cleanup
|
||||
|
||||
dbDSN := dsnForDB(adminDSN, dbName)
|
||||
// Jede Goroutine schreibt einen für sie eindeutigen Beleg.
|
||||
if err := WriteMarker(ctx, dbDSN, "isolation_marker", fmt.Sprintf("marker-von-goroutine-%d", idx)); err != nil {
|
||||
errs[idx] = fmt.Errorf("markierung %d fehlgeschlagen: %w", idx, err)
|
||||
}
|
||||
}(i, name)
|
||||
}
|
||||
wg.Wait()
|
||||
|
||||
t.Cleanup(func() {
|
||||
for _, cleanup := range cleanups {
|
||||
if cleanup != nil {
|
||||
_ = cleanup(context.Background())
|
||||
}
|
||||
}
|
||||
})
|
||||
|
||||
for i, err := range errs {
|
||||
if err != nil {
|
||||
t.Fatalf("goroutine %d: %v", i, err)
|
||||
}
|
||||
}
|
||||
|
||||
// Isolationsnachweis: jede DB enthält genau ihren eigenen Beleg (1), keinen fremden.
|
||||
for i, name := range dbNames {
|
||||
dbDSN := dsnForDB(adminDSN, name)
|
||||
count, err := CountMarkers(ctx, dbDSN, "isolation_marker")
|
||||
if err != nil {
|
||||
t.Fatalf("zaehlung in db %d fehlgeschlagen: %v", i, err)
|
||||
}
|
||||
if count != 1 {
|
||||
t.Errorf("db %d (%s): erwartet genau 1 eigenen Beleg, gefunden %d — Isolation verletzt", i, name, count)
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
// dsnForDB ersetzt den Datenbanknamen im Wartungs-DSN durch den gegebenen Namen.
|
||||
func dsnForDB(adminDSN, dbName string) string {
|
||||
idx := strings.LastIndex(adminDSN, "/")
|
||||
if idx == -1 {
|
||||
return adminDSN
|
||||
}
|
||||
base := adminDSN[:idx+1]
|
||||
rest := adminDSN[idx+1:]
|
||||
if q := strings.Index(rest, "?"); q != -1 {
|
||||
return base + dbName + rest[q:]
|
||||
}
|
||||
return base + dbName
|
||||
}
|
||||
Reference in New Issue
Block a user