[P0] 08.backend. Проверить backend secrets и dependency risks #5
No Assignees
Notifications
Due Date
No due date set.
Dependencies
No dependencies set.
Reference: WealthLedger/backend#5
Reference in New Issue
Block a user
Источник: локальный
todo/wealthledger-engineering-improvements.md, пункт 08.backend, анализ от 13.09.2026. Исходные критерии приведены ниже, чтобы issue не зависела от наличия локального TODO.Что осталось сделать
08.backend. Проверить backend secrets и dependency risks. Часть 08.root.
Проверить историю/изменения с redacted-выводом и runtime/dev advisories,
сопоставить с
WL-P2-12. Готово, когда: baseline привязан к revision,исключения обоснованы, новые значимые findings обрабатываются в CI.
До публикации или production-доступов — P0.
Gitea API возвращает private=false для всех пяти репозиториев. Условие повышения security baseline до P0 по исходному плану применимо; доступность кода без авторизации отдельно не проверена. Не публиковать найденные значения секретов.
Основание текущего статуса
package.json содержит verify, изолированные test:e2e/test:sqlite и test:openapi-contract. Prisma config исключает унаследованный RUST_LOG. Пункты 03, 10, 11, 12 и 14.backend уже закрыты; их не нужно реализовывать заново.
Проверка 13.09.2026: статическая сверка текущих файлов и remediation registry; через MCP проверены репозитории, issues, ветки и Actions workflows. Все пять main-веток имеют protected=false, список workflows пуст, существующих issues не найдено. Внешние CI, server-side updater, история секретов и свежий npm audit этой сверкой не проверялись; полные application gates повторно не запускались.
Проверяемая revision backend:
197ffe21368b337f27d27c22e473570258ebdc3b.Remediation registry остаётся владельцем статусов audit findings. Создание issue не означает выполнение или изменение статуса finding. Закрыть после проверки критериев и ссылки на фактические результаты.
Связанные issues
Выполнено в merged PR #9, revision
4c8ba2fac903c883849359aa354f3ffa749ca085.Security в main — SUCCESS: Gitleaks 8.30.1 проверяет всю историю с redaction, npm audit включает runtime/dev dependencies и показывает 0 vulnerabilities. Проверки работают при push/PR и ежедневно. Исключения ограничены 12 историческими fingerprints с объяснениями: детерминированные fixtures, placeholder и badge из upstream Nest starter; новые коммиты не исключены.
Сверено с WL-P2-12: исторически принятый Prisma tooling risk не используется как исключение из нового audit. Текущие advisories устранены адресными обновлениями/overrides; генерация Prisma и SQLite/e2e прошли. Исторический remediation registry сохранён без переписывания.