People-first проверка SurrealDB LIVE SELECT по ghsa-4m82-p8cx-f94j: применимость, безопасный fixture для границы «инвалидация или повторная авторизация LIVE subscription при session/auth state change», измеримый контракт и stop-rule без production-данных.
Определите применимость SurrealDB LIVE SELECT
Создайте карточку применимости для SurrealDB LIVE SELECT: installed version, package source, build digest, feature/config reachability и роль вызывающего субъекта. Reviewed Advisory описывает «SurrealDB: LIVE query subscriptions survive session state changes, bypassing access controls», опубликована 2026-07-01, обновлена 2026-07-01 и задаёт диапазон «surrealdb < 3.1.0; first patched 3.1.0». Эти данные не доказывают состояние конкретного развёртывания. Проверьте vendor backport и commit provenance; при неизвестной сборке оставьте applicability=unknown. Фактическая граница статьи — «инвалидация или повторная авторизация LIVE subscription при session/auth state change», а не общее обсуждение severity или продукта.
Опишите доверительную границу
Сформулируйте отдельную пользовательскую боль: подписка продолжает уведомления с зафиксированной старой identity после revoke, expiry или re-login. Запишите доверенный субъект, объект, управляющую policy и первый потенциальный побочный эффект. Заранее задайте защитный контракт: после revoke/expiry уведомления не доставляются; новая identity требует новую policy evaluation. Его нельзя подменять отсутствием исключения или HTTP 200: важна стадия до чтения, передачи, allocation, mutation или delivery. Рабочий артефакт — session-state / subscription-owner / event-time / policy-state / delivered / reason. В нём нужны только классы и счётчики; значения credentials, содержимое файлов, IP, account identifiers и персональные данные исключаются.
Соберите обратимый стенд
Постройте минимальный обратимый стенд: fake clock, synthetic session states active/expired/revoked/re-authenticated и local notification queue. Затем зарегистрировать subscription, сменить state, отправить безвредное event и проверить delivery decision. Сеть должна быть отключена или замкнута на loopback, filesystem — на disposable temp, state — на in-memory либо transaction rollback. Добавьте normal-control и отрицательный boundary-case, дайте каждому bounded timeout и одинаковую конфигурацию. До проверки зафиксируйте digest входа; после опыта сохраните result class, side-effect counters и cleanup proof. Не увеличивайте нагрузку и не пытайтесь воспроизвести вредный эффект на чужой системе.
Измерьте контракт до побочного эффекта
Сведите observed в матрицу «session-state / subscription-owner / event-time / policy-state / delivered / reason» и сравните с критерием «после revoke/expiry уведомления не доставляются; новая identity требует новую policy evaluation». Для каждого ряда отметьте decision stage, mutation/read/send counter, final state digest и отклонение от expected. Normal-control обязан пройти тот же код, иначе отрицательный наблюдение ничего не говорит о защите. Повторите лишь малый детерминированный набор; расхождение порядка считается отдельным race/cache сигналом. Pass ставится только когда запрет срабатывает раньше чувствительного действия, а разрешённый сценарий сохраняет documented behavior.
Свяжите patch с узким механизмом
Проверьте исправление по механизму, а не по номеру версии: upstream patch должен напрямую обеспечивать «инвалидация или повторная авторизация LIVE subscription при session/auth state change». Сопоставьте pre/post build на том же тестовая заготовка и сравните «session-state / subscription-owner / event-time / policy-state / delivered / reason». Для диапазона «surrealdb < 3.1.0; first patched 3.1.0» отдельно зафиксируйте vendor patch provenance и release artifact digest. Canary допускается только в лаборатории; production rollout требует отдельного change contract, backup и rollback. Не объявляйте систему безопасной целиком: этот опыт подтверждает один узкий invariant и не говорит об эксплуатации, ущербе, спросе, индексации или позиции страницы.
Остановитесь и подготовьте поддержку
Примените жёсткий stop-rule: остановиться до живого websocket, пользовательской сессии или реального notification payload. Красные флаги также включают внешний адрес, реальный credential, privilege prompt, необратимую запись, рост ресурсов, данные не из тестовая заготовка, отсутствие cleanup и изменившийся объект вне test root. При первом флаге завершите проверку и оставьте статус blocked. Для поддержки направьте ghsa-4m82-p8cx-f94j, SurrealDB LIVE SELECT, «surrealdb < 3.1.0; first patched 3.1.0», reachability evidence, sanitized matrix, normal-control, stop reason и две прямые ссылки. Не публикуйте payload и чужие логи; неизвестное обозначьте unknown, а не выдуманным фактом.
Используйте минимальное дерево решения
Минимальное дерево решения для SurrealDB LIVE SELECT: если версия вне доказанного affected range и patch provenance подтверждён — not-applicable; если ветвь недостижима по документированной конфигурации — not-reachable; если тестовая заготовка даёт «после revoke/expiry уведомления не доставляются; новая identity требует новую policy evaluation» на candidate build — ready-for-reviewed-update; если наблюдается «подписка продолжает уведомления с зафиксированной старой identity после revoke, expiry или re-login» — fail и эскалация владельцу. Во всех остальных случаях статус unknown. К карточке приложите «session-state / subscription-owner / event-time / policy-state / delivered / reason» и criterion «остановиться до живого websocket, пользовательской сессии или реального notification payload». Такое дерево не превращает один advisory в универсальную рекомендацию и сохраняет people-first приоритет: минимальное воздействие, ясная остановка и проверяемый ответ.
Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые ссылки, безопасный опыт, privacy-ограничения и отсутствие рекламных обещаний затем перепроверены по первичным источникам.
Источники и проверка
- GitHub Reviewed Advisory ghsa-4m82-p8cx-f94j проверено 2026-08-31
- Upstream-репозиторий SurrealDB LIVE SELECT проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.