zuevav/Bridge-and-Join-s
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Защита рецептов: SQL DEPO/SPECTRE/QUIK вынесен в пакет fsql под garble

Browse Source 
Реализация варианта B из аудита защиты знаний. Прямой garble всего bj-server
ломает html/template (он обращается к полям структур по имени, garble их
переименовывает). Решение — селективная обфускация: GOGARBLE обфусцирует ТОЛЬКО
пакет с секретами, шаблоны и обработчики не затрагиваются.

95 SQL-запросов к DEPO/SPECTRE/QUIK и трансферным таблицам FTV_M2M вынесены из
lkgateway в отдельный пакет internal/lkgateway/fsql как переменные (именно var,
не const: const компилятор вставил бы обратно в необфусцируемый пакет, и
шифрование бы не сработало — проверено). Сами обработчики, типы и параметры
sql.Named остались на месте; пакет держит только строки запросов.

build-release.sh собирает bj-server с `GOGARBLE=.../fsql garble -literals`
(нужен отдельный SDK go1.26 — модуль-кэшный тулчейн garble не подходит); если
garble/go1.26 не найдены — обычная сборка с предупреждением.

Проверено на реальном garble-бинаре (запускается, /admin и страницы на
структурах работают): рецепт чтения чужих систем из бинаря исчез —
OD_RESTS 13→0, OD_WIRING 5→0, OD_TURNS 1→0, OD_BALANCES 3→0, D_B_CONTRACTS 1→0,
OD_CLIENTS_PORTS 10→0, DepoLimits/MoneyLimits →0. Остаток FTV_M2M — упоминания
имён таблиц в операторских embed-шаблонах и логах, не сам рецепт.

Стенд собран обычной сборкой (без garble) — трассировки остаются читаемыми.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL
This commit is contained in:
zuevav
2026-09-18 20:29:47 +03:00
parent 47f5015c3f
commit 7ce4c2c79f
49 changed files with 605 additions and 332 deletions
Download Patch File Download Diff File Expand all files Collapse all files
scripts/build-release.sh
+18 -1
View File
@@ -25,7 +25,24 @@ echo "Сборка релиза $VERSION (канал $CHANNEL) в $DIST"
# справки (архитектура НРД, протокол FTV_M2M, схема базы, крипто, QUIK) в бинарь не
# попадают (см. internal/lkgateway/internaldocs_off.go). Свою сборку со справкой
# делаем отдельно: go build -tags internaldocs. Не добавляйте этот тег сюда.
go build -trimpath -ldflags "-s -w -X $MOD/internal/lkgateway.BuildVersion=$(ver BJ_SERVER_VERSION)" -o "$DIST/bj-server" ./cmd/bj-server
# bj-server несёт SQL-рецепты чтения DEPO/SPECTRE/QUIK (пакет internal/lkgateway/fsql).
# В релизе обфусцируем ТОЛЬКО этот пакет garble (-literals): строки запросов шифруются
# и не читаются `strings`; шаблоны и обработчики не затрагиваются. garble требует
# отдельный SDK go1.26 (модуль-кэшный тулчейн ему не подходит).
GARBLE=${GARBLE:-$(command -v garble || echo "$HOME/go/bin/garble")}
GO126_ROOT=${GO126_ROOT:-$HOME/sdk/go1.26.8}
if [ -x "$GARBLE" ] && [ -x "$GO126_ROOT/bin/go" ]; then
echo " bj-server: обфускация garble пакета fsql (SQL-рецепты)"
PATH="$GO126_ROOT/bin:$PATH" GOROOT="$GO126_ROOT" GOTOOLCHAIN=local \
GOGARBLE="$MOD/internal/lkgateway/fsql" \
"$GARBLE" -literals build -ldflags "-s -w -X $MOD/internal/lkgateway.BuildVersion=$(ver BJ_SERVER_VERSION)" -o "$DIST/bj-server" ./cmd/bj-server
else
echo " ВНИМАНИЕ: garble или go1.26 (~/sdk/go1.26.8) не найдены — bj-server собирается БЕЗ обфускации,"
echo " SQL-рецепты DEPO/SPECTRE будут читаться strings. Установка обфускатора:"
echo " go install golang.org/dl/go1.26.8@latest && go1.26.8 download"
echo " go install mvdan.cc/garble@latest"
go build -trimpath -ldflags "-s -w -X $MOD/internal/lkgateway.BuildVersion=$(ver BJ_SERVER_VERSION)" -o "$DIST/bj-server" ./cmd/bj-server
fi
CGO_ENABLED=0 go build -trimpath -ldflags "-s -w -X main.installerVersion=$(ver INSTALLER_VERSION)" -o "$DIST/bj-installer" ./cmd/bj-installer
CGO_ENABLED=0 go build -trimpath -ldflags "-s -w -X main.version=$(ver COMPONENT_INSTALL_VERSION)" -o "$DIST/bj-component-install" ./cmd/bj-component-install
CGO_ENABLED=0 go build -trimpath -ldflags "-s -w -X main.version=$(ver NPR_VERSION)" -o "$DIST/bj-npr" ./cmd/bj-npr