mirror of
https://gitcode.com/JianFeeeee/HomeAgent.git
synced 2026-11-05 16:57:32 +00:00
5bdd0b5107
## 用户裁定
> store也应该调用security的加密能力！
## 改动前的事实（实测）
两套**完全重复**的 AES-256-GCM：
Store.seal/open store.go:372,388 裸 base64
Codec.Seal/Open codec.go:113,139 enc:v1: 前缀 + 域隔离 + 幂等
算法、nonce 布局（前置 + io.ReadFull(rand)）、密钥环轮换逻辑全都一样，
只有 Codec 多了前缀与域隔离。
危害不是"代码重复"这么轻：
· 两套实现各自演化，任何一侧的改动不会被另一侧的判据发现
· Store 缺域隔离 ⇒ 变量库与配置共用密钥（安全倒退）
· Store 缺前缀 ⇒ 无法区分"旧密文"与"明文"（惰性迁移的障碍）
## 本次做的
### Store 委托 Codec
codecOf() 按当前 keys 环惰性构建（轮换后自动跟上）
sealWithRing() 新格式（enc:v1: 前缀）
openWithStoreRing() 兼容新旧两种格式，返回 needsMigrate
删除 Store 自带的 seal/open/openWithRing —— 现在**只有一处** AES-GCM。
### 域隔离（安全判据）
storeCodecDomain = "security/variables"
configCodecDomain = "config-at-rest"
两者必须不同：同域时一处明文泄漏可推导另一处密文。
### 存量密文惰性迁移
旧格式是裸 base64 无前缀，而 Codec.Open 对无前缀输入**原样返回明文**
（那是给 config 的存量明文兼容）。直接交给 Open 会把密文当明文返回，
症状是"凭据回填出一个 base64 串"。
所以 Store 走 openWithStoreRing：
enc:v1:... → Codec.Open
裸 base64 → Codec.OpenLegacy（解开后立刻回写新格式）
不做启动时全量迁移（21G 数据目录的教训：迁移窗口越长越危险），
也不让两种格式永久共存（判据永不能要求"落盘都是新格式"）。
### 删 globalCodec 单例 → 归 Runtime
security 模块 → rt.SetCodec(c) → ks.Security
config 模块 → cfgReg.SetCodec(ks.Security.Codec())
ConfigRegistry 加 codec 字段（注入而非读全局），6 处 ConfigCodec() 改为
r.codecOf()；PluginSettings 经 p.registry 转调。
sdk.SecretsAPI 也加 codec 参数（插件加密能力来自它的内核实例）。
### 顺带
· InitConfigCodec* / ClearConfigCodec 删除，改 NewConfigCodec 返回实例
· homed-key-rotate 改为 构造 + reg.SetCodec（不再装全局）
· bootstrap_order_test 的锚点从 InitConfigCodecWithOldKeys 改为
NewConfigCodec（守的不变量不变，只是生效点写法变了）
## 判据（均经变异验证）
TestNoPackageLevelSingletons 禁表补入 globalCodec
TestStoreWritesPrefixedCiphertext 新密文必须带 enc:v1:（旧实现裸 base64 ⇒ 红）
TestStoreAndConfigUseDifferentDomains 域隔离；改成同域 ⇒ 红（实测确认）
TestLegacyCiphertextStillReadableAndMigrates 旧格式可读 + 落盘已升级
TestRotationKeepsOldCiphertextReadable 轮换后旧条目仍可回填
## 验证
go build ./... PASS
go vet ./... PASS
gofmt -l 干净
go test ./... -count=1 63 包全过，0 FAIL
干净检出（git worktree） build + security/config 测试全绿
## 数据风险
加密实现切换有丢数据风险，因此：
· 先写往返判据，再改实现
· 惰性迁移（读到才升级），不做启动全量重写
· 旧格式与旧密钥环**都保留**读取路径
97 lines
3.0 KiB
Go
97 lines
3.0 KiB
Go
package config
|
||
|
||
import (
|
||
"path/filepath"
|
||
"testing"
|
||
|
||
"github.com/JianFeeeee/HologramAgent/internal/security"
|
||
)
|
||
|
||
// ★★ E-2：备份来自**另一台机器**（密钥不同）时，审计必须报出“不可解”，
|
||
// 而不是静默当明文/空值，也不是等到某个功能坏了才发现。
|
||
//
|
||
// 这是备份恢复场景的核心判据：db 能打开、表能读、但密文解不开 ——
|
||
// 那种状态最容易被误判成“配置丢了”。
|
||
func TestAuditSecretsDetectsForeignKeyBackup(t *testing.T) {
|
||
// 本包的 codec 是**进程级全局**，测试必须还原现场，
|
||
// 否则会把密钥泄漏给同包其它判据（实测：导致 GetInt 读到密文）。
|
||
dir := t.TempDir()
|
||
keyA := []byte("aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa")
|
||
keyB := []byte("bbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbb")
|
||
|
||
// 机器 A：写入一条加密配置
|
||
cA, cerr := security.NewConfigCodec(keyA, nil)
|
||
if cerr != nil {
|
||
t.Fatal(cerr)
|
||
}
|
||
regA := NewConfigRegistry(filepath.Join(dir, "config.db"))
|
||
regA.SetCodec(cA)
|
||
regA.RegisterDef(cfgDef("core.llm.api_key"))
|
||
if err := regA.Set("core.llm.api_key", "sk-machine-a"); err != nil {
|
||
t.Fatal(err)
|
||
}
|
||
ok, bad, err := regA.AuditSecrets()
|
||
if err != nil || ok != 1 || bad != 0 {
|
||
t.Fatalf("machine A 自审应为 ok=1 bad=0，实际 ok=%d bad=%d err=%v", ok, bad, err)
|
||
}
|
||
regA.Close()
|
||
|
||
// 机器 B：同一份 db，但密钥不同
|
||
cB, cerr := security.NewConfigCodec(keyB, nil)
|
||
if cerr != nil {
|
||
t.Fatal(cerr)
|
||
}
|
||
regB := NewConfigRegistry(filepath.Join(dir, "config.db"))
|
||
regB.SetCodec(cB)
|
||
defer regB.Close()
|
||
ok2, bad2, err := regB.AuditSecrets()
|
||
if err != nil {
|
||
t.Fatal(err)
|
||
}
|
||
if bad2 == 0 {
|
||
t.Fatal("★ 外来密钥的备份未被识别 —— 会被误判为「配置丢了」而非「密钥不匹配」")
|
||
}
|
||
if ok2 != 0 {
|
||
t.Errorf("外来密钥下可解条数应为 0，实际 %d", ok2)
|
||
}
|
||
// 读取该键必须**响亮报错**，不能把密文当明文交出去
|
||
if v, err := regB.Get("core.llm.api_key"); err == nil {
|
||
t.Fatalf("★ 密文解不开却返回了值: %v", v)
|
||
}
|
||
}
|
||
|
||
// ★ 同一密钥下重启（正常恢复）必须全部可解 —— 不能把正常备份误报成坏。
|
||
func TestAuditSecretsCleanOnSameKey(t *testing.T) {
|
||
dir := t.TempDir()
|
||
key := []byte("cccccccccccccccccccccccccccccccc")
|
||
c, cerr := security.NewConfigCodec(key, nil)
|
||
if cerr != nil {
|
||
t.Fatal(cerr)
|
||
}
|
||
db := filepath.Join(dir, "config.db")
|
||
reg := NewConfigRegistry(db)
|
||
reg.SetCodec(c)
|
||
reg.RegisterDef(cfgDef("core.llm.api_key"))
|
||
if err := reg.Set("core.llm.api_key", "sk-1"); err != nil {
|
||
t.Fatal(err)
|
||
}
|
||
reg.Close()
|
||
|
||
cy, cerr := security.NewConfigCodec(key, nil)
|
||
if cerr != nil {
|
||
t.Fatal(cerr)
|
||
}
|
||
reg2 := NewConfigRegistry(db)
|
||
reg2.SetCodec(cy)
|
||
defer reg2.Close()
|
||
ok, bad, err := reg2.AuditSecrets()
|
||
if err != nil || bad != 0 || ok != 1 {
|
||
t.Fatalf("同密钥重启应为 ok=1 bad=0，实际 ok=%d bad=%d err=%v", ok, bad, err)
|
||
}
|
||
}
|
||
|
||
// cfgDef 造一个最小 secret 键定义。
|
||
func cfgDef(key string) ConfigDef {
|
||
return ConfigDef{Key: key, Type: "string", Secret: true}
|
||
}
|