zuevav
7ce4c2c79f
Реализация варианта B из аудита защиты знаний. Прямой garble всего bj-server ломает html/template (он обращается к полям структур по имени, garble их переименовывает). Решение — селективная обфускация: GOGARBLE обфусцирует ТОЛЬКО пакет с секретами, шаблоны и обработчики не затрагиваются. 95 SQL-запросов к DEPO/SPECTRE/QUIK и трансферным таблицам FTV_M2M вынесены из lkgateway в отдельный пакет internal/lkgateway/fsql как переменные (именно var, не const: const компилятор вставил бы обратно в необфусцируемый пакет, и шифрование бы не сработало — проверено). Сами обработчики, типы и параметры sql.Named остались на месте; пакет держит только строки запросов. build-release.sh собирает bj-server с `GOGARBLE=.../fsql garble -literals` (нужен отдельный SDK go1.26 — модуль-кэшный тулчейн garble не подходит); если garble/go1.26 не найдены — обычная сборка с предупреждением. Проверено на реальном garble-бинаре (запускается, /admin и страницы на структурах работают): рецепт чтения чужих систем из бинаря исчез — OD_RESTS 13→0, OD_WIRING 5→0, OD_TURNS 1→0, OD_BALANCES 3→0, D_B_CONTRACTS 1→0, OD_CLIENTS_PORTS 10→0, DepoLimits/MoneyLimits →0. Остаток FTV_M2M — упоминания имён таблиц в операторских embed-шаблонах и логах, не сам рецепт. Стенд собран обычной сборкой (без garble) — трассировки остаются читаемыми. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL
69 lines
4.9 KiB
Bash
Executable File
69 lines
4.9 KiB
Bash
Executable File
#!/bin/sh
|
|
# Сборка и подпись релиза bj для сервера обновлений (lic.zetit.ru).
|
|
#
|
|
# scripts/build-release.sh 2026.10.1 [канал] [опубликовать]
|
|
# 2026.10.1 версия релиза
|
|
# канал stable (по умолчанию) | beta | …
|
|
# опубликовать publish — сразу загрузить на сервер (нужен репозиторий lic_Bridge-and-Join-s рядом)
|
|
#
|
|
# Версии компонентов: переменные BJ_SERVER_VERSION, INSTALLER_VERSION, COMPONENT_INSTALL_VERSION, NPR_VERSION, QUIKEXPORT_VERSION, LK_VERSION,
|
|
# CRYPTO_VERSION (по умолчанию — версия релиза). Криптосервис берётся из CRYPTO_JAR
|
|
# (по умолчанию /opt/bj/crypto-service.jar). Ключ подписи: RELEASE_KEY (~/keys/release-signing.priv).
|
|
set -eu
|
|
VERSION=${1:?версия релиза, например 2026.10.1}
|
|
CHANNEL=${2:-stable}
|
|
PUBLISH=${3:-}
|
|
ROOT=$(cd "$(dirname "$0")/.." && pwd)
|
|
DIST=${DIST:-$ROOT/dist/release-$VERSION}
|
|
KEY=${RELEASE_KEY:-$HOME/keys/release-signing.priv}
|
|
MOD=git.zetit.ru/zuevav/Bridge-and-Join-s
|
|
rm -rf "$DIST" && mkdir -p "$DIST"
|
|
cd "$ROOT"
|
|
ver() { eval "v=\${$1:-}"; [ -n "$v" ] && echo "$v" || echo "$VERSION"; }
|
|
echo "Сборка релиза $VERSION (канал $CHANNEL) в $DIST"
|
|
# ВАЖНО: клиентский релиз собирается БЕЗ тега internaldocs — технические страницы
|
|
# справки (архитектура НРД, протокол FTV_M2M, схема базы, крипто, QUIK) в бинарь не
|
|
# попадают (см. internal/lkgateway/internaldocs_off.go). Свою сборку со справкой
|
|
# делаем отдельно: go build -tags internaldocs. Не добавляйте этот тег сюда.
|
|
# bj-server несёт SQL-рецепты чтения DEPO/SPECTRE/QUIK (пакет internal/lkgateway/fsql).
|
|
# В релизе обфусцируем ТОЛЬКО этот пакет garble (-literals): строки запросов шифруются
|
|
# и не читаются `strings`; шаблоны и обработчики не затрагиваются. garble требует
|
|
# отдельный SDK go1.26 (модуль-кэшный тулчейн ему не подходит).
|
|
GARBLE=${GARBLE:-$(command -v garble || echo "$HOME/go/bin/garble")}
|
|
GO126_ROOT=${GO126_ROOT:-$HOME/sdk/go1.26.8}
|
|
if [ -x "$GARBLE" ] && [ -x "$GO126_ROOT/bin/go" ]; then
|
|
echo " bj-server: обфускация garble пакета fsql (SQL-рецепты)"
|
|
PATH="$GO126_ROOT/bin:$PATH" GOROOT="$GO126_ROOT" GOTOOLCHAIN=local \
|
|
GOGARBLE="$MOD/internal/lkgateway/fsql" \
|
|
"$GARBLE" -literals build -ldflags "-s -w -X $MOD/internal/lkgateway.BuildVersion=$(ver BJ_SERVER_VERSION)" -o "$DIST/bj-server" ./cmd/bj-server
|
|
else
|
|
echo " ВНИМАНИЕ: garble или go1.26 (~/sdk/go1.26.8) не найдены — bj-server собирается БЕЗ обфускации,"
|
|
echo " SQL-рецепты DEPO/SPECTRE будут читаться strings. Установка обфускатора:"
|
|
echo " go install golang.org/dl/go1.26.8@latest && go1.26.8 download"
|
|
echo " go install mvdan.cc/garble@latest"
|
|
go build -trimpath -ldflags "-s -w -X $MOD/internal/lkgateway.BuildVersion=$(ver BJ_SERVER_VERSION)" -o "$DIST/bj-server" ./cmd/bj-server
|
|
fi
|
|
CGO_ENABLED=0 go build -trimpath -ldflags "-s -w -X main.installerVersion=$(ver INSTALLER_VERSION)" -o "$DIST/bj-installer" ./cmd/bj-installer
|
|
CGO_ENABLED=0 go build -trimpath -ldflags "-s -w -X main.version=$(ver COMPONENT_INSTALL_VERSION)" -o "$DIST/bj-component-install" ./cmd/bj-component-install
|
|
CGO_ENABLED=0 go build -trimpath -ldflags "-s -w -X main.version=$(ver NPR_VERSION)" -o "$DIST/bj-npr" ./cmd/bj-npr
|
|
ver NPR_VERSION > "$DIST/bj-npr.version"
|
|
CGO_ENABLED=0 go build -trimpath -ldflags "-s -w -X main.version=$(ver QUIKEXPORT_VERSION)" -o "$DIST/bj-quikexport" ./cmd/bj-quikexport
|
|
ver QUIKEXPORT_VERSION > "$DIST/bj-quikexport.version"
|
|
CGO_ENABLED=0 go build -trimpath -ldflags "-s -w -X main.version=$(ver LK_VERSION)" -o "$DIST/bj-lk" ./cmd/bj-lk
|
|
ver LK_VERSION > "$DIST/bj-lk.version"
|
|
ver BJ_SERVER_VERSION > "$DIST/bj-server.version"
|
|
ver INSTALLER_VERSION > "$DIST/bj-installer.version"
|
|
ver COMPONENT_INSTALL_VERSION > "$DIST/bj-component-install.version"
|
|
JAR=${CRYPTO_JAR:-/opt/bj/crypto-service.jar}
|
|
if [ -f "$JAR" ]; then
|
|
cp "$JAR" "$DIST/crypto-service.jar"
|
|
ver CRYPTO_VERSION > "$DIST/crypto-service.jar.version"
|
|
fi
|
|
go run ./cmd/bj-release build -dir "$DIST" -version "$VERSION" -channel "$CHANNEL" -key "$KEY" -keyid release -out "$DIST/manifest.json"
|
|
if [ "$PUBLISH" = "publish" ]; then
|
|
LIC=${LIC_REPO:-$ROOT/../lic_Bridge-and-Join-s}
|
|
[ -x "$LIC/deploy/publish-release.sh" ] || LIC=$HOME/lic_Bridge-and-Join-s
|
|
rm -f "$DIST"/*.version
|
|
"$LIC/deploy/publish-release.sh" "$DIST" "$CHANNEL"
|
|
fi
|