47 lines
2.3 KiB
MySQL
47 lines
2.3 KiB
MySQL
|
-- Migration: 0005_verification_decisions
|
||
|
|
-- Replay-Schutz-Tabelle für die verification-service-Kette (DEV-612).
|
||
|
|
--
|
||
|
|
-- Jede erfolgreiche POST /api/v1/verify/chain-Antwort reserviert hier
|
||
|
|
-- genau eine Zeile. Ein zweiter Aufruf mit dem gleichen decision_id
|
||
|
|
-- löst keine Prüfung erneut aus, sondern liefert `valid=false,
|
||
|
|
-- replay=true` zurück (dummy-sink mappt das auf 409 Conflict).
|
||
|
|
--
|
||
|
|
-- Design-Entscheidungen:
|
||
|
|
-- * decision_id ist caller-chosen und opaque — TEXT PK statt UUID.
|
||
|
|
-- * approval_signer_key / transform_signer_key sind die DSSE-key_ids
|
||
|
|
-- (z. B. "trust-api/approval-signer-2026-q4"), nicht Agent-IDs.
|
||
|
|
-- Wer tatsächlich signiert hat, ist das Signaturartefakt, nicht der
|
||
|
|
-- Agent-Slug.
|
||
|
|
-- * payload_hash + sink_target werden mit protokolliert, damit sich
|
||
|
|
-- eine Replay-Abweisung nachträglich auditieren lässt
|
||
|
|
-- ("gleiche decision_id, aber Payload wurde verändert").
|
||
|
|
-- * NO FK auf approvals/attestations: diese Tabelle ist bewusst eine
|
||
|
|
-- Insel und darf nicht an die Lebenszyklen der Signatur-Services
|
||
|
|
-- gebunden werden.
|
||
|
|
|
||
|
|
CREATE TABLE IF NOT EXISTS verification_decisions (
|
||
|
|
decision_id TEXT PRIMARY KEY
|
||
|
|
CHECK (length(decision_id) BETWEEN 1 AND 256),
|
||
|
|
approval_ref TEXT NOT NULL
|
||
|
|
CHECK (approval_ref ~ '^sha256:[0-9a-f]{64}$'),
|
||
|
|
transform_ref TEXT NOT NULL
|
||
|
|
CHECK (transform_ref ~ '^sha256:[0-9a-f]{64}$'),
|
||
|
|
payload_hash TEXT NOT NULL
|
||
|
|
CHECK (payload_hash ~ '^sha256:[0-9a-f]{64}$'),
|
||
|
|
sink_target TEXT NOT NULL
|
||
|
|
CHECK (length(sink_target) BETWEEN 1 AND 256),
|
||
|
|
approval_signer_key TEXT NOT NULL
|
||
|
|
CHECK (length(approval_signer_key) BETWEEN 1 AND 256),
|
||
|
|
transform_signer_key TEXT NOT NULL
|
||
|
|
CHECK (length(transform_signer_key) BETWEEN 1 AND 256),
|
||
|
|
created_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
|
||
|
|
);
|
||
|
|
|
||
|
|
-- Audit-Pfad: "wann wurde zuletzt auf diese Senke geschrieben?"
|
||
|
|
CREATE INDEX idx_verification_decisions_sink_created
|
||
|
|
ON verification_decisions (sink_target, created_at);
|
||
|
|
|
||
|
|
-- Audit-Pfad: "welche Entscheidungen hängen an diesem approval_ref?"
|
||
|
|
CREATE INDEX idx_verification_decisions_approval
|
||
|
|
ON verification_decisions (approval_ref);
|