nexarch/mail/docs/ARC-09-PRUEFPROTOKOLL.md

ARC-09 — Postfach-Quota: Prüfprotokoll

Datum: 2026-09-02 Host: 192.168.1.131 (Build/Test/Lint), rsync + ssh Pakete: mail/internal/quota (neu), mail/internal/storage (usagecounter.go, archivekey.go erweitert), mail/internal/mailboxconfig (erweitert), mail/internal/smtp (erweitert)

Umsetzung

Konfiguriertes Limit (Akzeptanzkriterium 1): mailboxconfig (IMP-07) bekommt eine neue Spalte quota_bytes (Migration 0002_mail_mailboxes_quota.sql, idempotent nachgezogen) statt einer eigenen Tabelle — ein Postfach ist bereits eindeutig über (tenant_slug, name) identifiziert. Store.SetQuotaBytes/LimitBytes (0 = unbegrenzt, Standardwert, keine Migration bestehender Postfächer nötig). LimitBytes erfüllt strukturell quota. LimitProvider — eigenständig von der tenant-weiten Core-LIC-05-Quota.

Realer Verbrauch (Pflichtprüfung 3): storage.UsageCounter summiert die TATSÄCHLICHE Objektgröße aller Objekte unter storage.ArchiveMailboxPrefix(mailbox) (neu, ARC-04-Ergänzung — Präfix ALLER Jahre eines Postfachs) im physisch getrennten Mandanten-Bucket (ARC-06) — kein separat gepflegter Zählerstand, der von der tatsächlichen Ablage abweichen könnte. Erfüllt strukturell quota. UsageProvider.

Verknüpfung: quota.Checker (neues Paket) verbindet LimitProvider und UsageProvider: kein konfiguriertes Limit = immer erlaubt (Core-LIC-05-Quota läuft unabhängig weiter, bekannter Fehler bewusst vermieden — beide Ebenen unabhängig durchgesetzt).

SMTP-Durchsetzung (Akzeptanzkriterium 2): smtp.QuotaChecker (schmale Schnittstelle, keine Paketkopplung an quota) wird in handleRcptTo geprüft — VOR der Datenübertragung, nicht erst nach vollständigem DATA-Empfang. Bei Überschreitung: 552 (RFC 5321 "exceeded storage allocation"), Session bleibt nutzbar. Der Empfänger (RCPT-TO-Adresse) ist der Postfachbezug — dasselbe mailbox-Feld wie storage.ArchiveKey/mailboxconfig. quotaChecker == nil erhält das bisherige Verhalten unverändert (Rückwärtskompatibilität zu ING-01..QA-04).

Pflichtprüfung 1: Postfach-Quota erreicht, neue eingehende Mail wird mit korrekter SMTP-Fehlermeldung abgelehnt

TestRcptTo_QuotaExceededRejectedWithCorrectSMTPError: RCPT TO an ein als "am Limit" markiertes Postfach liefert 552 mit erkennbarer Quota-Fehlermeldung; Session bleibt danach funktionsfähig (NOOP → 250); der Sink bekommt keine Nachricht.

Ergebnis: BESTANDEN.

Pflichtprüfung 2: anderes Postfach desselben Tenants empfängt weiterhin normal, während eines am Limit ist

TestRcptTo_OtherMailboxUnaffectedWhenOneAtLimit: zwei unabhängige SMTP-Transaktionen desselben Tenants — die erste (Postfach am Limit) wird mit 552 abgelehnt, die zweite (anderes Postfach, kein Limit) läuft vollständig durch (250/354/250), die Nachricht kommt real beim Sink an.

Ergebnis: BESTANDEN.

Pflichtprüfung 3: Verbrauchsanzeige je Postfach im Test korrekt gegen tatsächliche Größe geprüft

TestIntegration_UsageDisplayMatchesRealSizeAndEnforcesQuota (vollständiger Ende-zu-Ende-Integrationstest, echte Postgres- und MinIO-Instanz): 5000 Bytes real in den ARC-06-Bucket eines real provisionierten Mandanten geschrieben, storage.UsageCounter. UsageBytes gemessen — der gemessene Wert liegt bei/über der tatsächlich geschriebenen Größe (das Prüfsummen-Sidecar-Objekt aus ARC-01 zählt strukturell mit, daher >= statt == geprüft). Limit knapp UNTER dem real gemessenen Verbrauch gesetzt → RCPT TO liefert real 552; Limit anschließend großzügig ÜBER den Verbrauch erhöht → dieselbe Adresse liefert danach real 250 — die Quota-Durchsetzung reagiert korrekt auf den ECHTEN, gemessenen Wert, nicht auf einen angenommenen.

Ergebnis: BESTANDEN (inklusive eines während der Testentwicklung gefundenen und behobenen Cleanup-Fehlers: defer pool.Close() schloss die Postgres-Verbindung VOR den zugehörigen t.Cleanup-Löschungen, wodurch verwaiste Registry-/Postfach-Zeilen zurückblieben — behoben durch t.Cleanup(pool.Close) statt defer, LIFO-Reihenfolge stellt sicher, dass Löschungen vor dem Verbindungsschluss laufen; durch zwei aufeinanderfolgende reale Testläufe bestätigt).

Akzeptanzkriterien

1. Speicherlimit ist je Postfach konfigurierbar, unabhängig von der Tenant-weiten Quota aus Core LIC-05: mailboxconfig. SetQuotaBytes/LimitBytes, durch Pflichtprüfung 3 belegt.
2. Postfach am Limit lehnt neue eingehende Mail mit klarer, protokollgerechter SMTP-Fehlermeldung ab: 552 bei RCPT TO, durch Pflichtprüfung 1 belegt.
3. Ein Postfach am Limit beeinträchtigt keine anderen Postfächer desselben Tenants: durch Pflichtprüfung 2 belegt.

Build/Vet/Lint/Test — Gesamtmodul

go build ./...    → OK
go vet ./...      → OK
golangci-lint run ./... → 0 issues
go test ./... -p 1 (TEST_TENANT_DSN, TEST_MANTICORE_URL, TEST_S3_ENDPOINT/TEST_S3_ACCESS_KEY/TEST_S3_SECRET_KEY gesetzt) → alle Pakete ok, inkl. neuem internal/quota

Keine Regression — insbesondere bestehende mailboxconfig-Tests (IMP-07) bleiben nach der neuen quota_bytes-Spalte unverändert grün.

Ergebnis

ARC-09 erfüllt alle Akzeptanzkriterien mit echten, ausgeführten Nachweisen — inklusive eines vollständigen Ende-zu-Ende-Integrations- tests gegen reale Postgres- und MinIO-Instanzen. Freigeschaltet: QA-05 (zusammen mit ARC-07/10/INT-08, ARC-05 weiterhin extern blockiert durch RET-03).