Безопасная проверка SpiceDB caveated relations по ghsa-4vrg-r928-h5vv: применимость, обратимый опыт для границы «conditional result dominance across intersection/exclusion branch aggregation», матрица результата и stop-rule без production-данных.
Отделите advisory от установки SpiceDB caveated relations
Сначала отделите факт advisory от гипотезы о своей установке SpiceDB caveated relations. Зафиксируйте package source, рабочая сборка version, build digest, feature/config reachability и роль, которая достигает ветви. GitHub Reviewed Advisory сообщает «SpiceDB: Checks involving relations with caveats can result in unconditional permission when conditional permission is expected», даты 2026-06-19/2026-06-23 и границы «github.com/authzed/spicedb >= 1.34.0, < 1.54.0; first patched 1.54.0». Это не подтверждает affected code в конкретной сборке: fork и vendor backport требуют commit provenance. Пока provenance или reachability неизвестны, статус только unknown, без вывода об эксплуатации, популярности или ущербе.
Назовите отдельный защитный invariant
Опишите один узкий invariant: conditional result dominance across intersection/exclusion branch aggregation. Отдельная боль пользователя: concurrent branches combine caveated and ordinary reachability into HAS_PERMISSION instead of CONDITIONAL_PERMISSION. Укажите субъект, объект, trust boundary, решение policy и самый ранний чувствительный side effect. Pass-критерий задайте заранее: any required caveated path preserves conditional result unless context is explicitly supplied and satisfied. Он отличается от общего «ошибки нет»: защита обязана сработать до read, send, execute, write, cache commit, credential issue или process exit. Решающий артефакт — branch-a / branch-b / operation / interleaving / expected / observed; в нём нет имён, IP, содержимого файлов и персональных данных.
Проведите дифференциальный обратимый опыт
Создайте обратимый тестовый контур: small in-memory schema analogue, deterministic barrier and branch results conditional/unconditional/none. Затем evaluate single and bulk checks under controlled interleavings without server or tuples from users. Все значения синтетические, сеть отключена либо loopback-only, filesystem ограничен mkdtemp, persistence — in-memory или rollback transaction. Добавьте positive control и boundary case, одинаковый timeout и deterministic ordering. До проверки сохраните input digest и expected row; после — result class, counters, final-state digest и cleanup proof. Нагрузочный или эксплуатационный вариант не нужен и запрещён.
Прочитайте матрицу до side effect
Заполните матрицу «branch-a / branch-b / operation / interleaving / expected / observed» строка за строкой. Сопоставьте observed с правилом «any required caveated path preserves conditional result unless context is explicitly supplied and satisfied», отдельно отмечая stage решения и факт любого побочного эффекта. Positive control обязан пройти тот же код: иначе deny может означать сломанный тестовый контур. Для гонки или cache/state темы изменяйте только детерминированный interleaving и повторяйте малое число раз. Green возможен, когда безопасный сценарий работает, пограничный отклонён раньше действия, а state digest соответствует ожидаемому.
Подтвердите механизм исправления
Проверьте patch provenance по смыслу: diff обязан реализовать «conditional result dominance across intersection/exclusion branch aggregation», а не просто изменить номер релиза. На одном fixture сравните текущую и candidate build и сохраните «branch-a / branch-b / operation / interleaving / expected / observed». Диапазон «github.com/authzed/spicedb >= 1.34.0, < 1.54.0; first patched 1.54.0» используйте как фильтр, не как доказательство. Если update требует rollout, эта статья не разрешает production change: нужен отдельный контракт с backup, canary, readiness и rollback. Не обещайте, что один фикс закрывает весь класс риска или даёт поисковый результат.
Примените stop-rule и privacy boundary
Stop-rule: остановить опыт до production authorization, user tuples, large concurrency or policy migration. Также прекратите опыт при внешнем адресе, real credential, privilege prompt, данных вне fixture, необратимой записи, росте ресурсов, отсутствии normal control или cleanup. Статус будет blocked, а не «почти прошёл». Для support-команды передайте ghsa-4vrg-r928-h5vv, SpiceDB caveated relations, version/build provenance, «github.com/authzed/spicedb >= 1.34.0, < 1.54.0; first patched 1.54.0», sanitized «branch-a / branch-b / operation / interleaving / expected / observed», expected/observed, stop reason и прямые source URLs. Не публикуйте payload, чужие логи, конфиги и приватные ссылки.
Завершите деревом решения
Дерево решения для SpiceDB caveated relations: proven patched/non-affected build — not-applicable; недостижимая по документированной конфигурации ветвь — not-reachable; candidate build выполняет «any required caveated path preserves conditional result unless context is explicitly supplied and satisfied» — ready-for-reviewed-update; наблюдается «concurrent branches combine caveated and ordinary reachability into HAS_PERMISSION instead of CONDITIONAL_PERMISSION» — fail и эскалация владельцу. Иначе unknown. К каждому листу приложите один факт из «branch-a / branch-b / operation / interleaving / expected / observed» и criterion «остановить опыт до production authorization, user tuples, large concurrency or policy migration». Такой ответ самостоятельный: он решает конкретный intent через reversible test, matrix, red flags и минимальный support packet, а не размножает страницу заменой бренда.
Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые ссылки, безопасный опыт, privacy-ограничения и отсутствие рекламных обещаний затем перепроверены по первичным источникам.
Источники и проверка
- GitHub Reviewed Advisory ghsa-4vrg-r928-h5vv проверено 2026-08-31
- Upstream-репозиторий SpiceDB caveated relations проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.