secure_db_fields 0.1.1

data/db_deployment/mysql/bin/uninstall

@@ -0,0 +1,46 @@
+#!/usr/bin/env bash
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
+MYSQL="${MYSQL:-mysql}"
+DEFAULTS_FILE=""
+MYSQL_SOCKET="${MYSQL_SOCKET:-}"
+
+usage() {
+  cat <<'TEXT'
+Usage: sudo MYSQL_SOCKET=/run/mysqld/mysqld.sock ./bin/uninstall [--mysql PATH] [--defaults-extra-file PATH]
+
+Removes SecureDBFields-owned UDF registrations and its native library. The
+Makefile requires CONFIRM=REMOVE_SECURE_DB_FIELDS before this script can run.
+TEXT
+}
+
+while [ "$#" -gt 0 ]; do
+  case "$1" in
+    --mysql)
+      [ "$#" -ge 2 ] || { echo '--mysql requires a path' >&2; exit 2; }
+      MYSQL="$2"; shift 2 ;;
+    --defaults-extra-file)
+      [ "$#" -ge 2 ] || { echo '--defaults-extra-file requires a path' >&2; exit 2; }
+      DEFAULTS_FILE="$2"; shift 2 ;;
+    --help|-h)
+      usage; exit 0 ;;
+    *)
+      echo "secure_db_fields mysql uninstall: unknown option: $1" >&2; exit 2 ;;
+  esac
+done
+
+[ "${EUID:-$(id -u)}" -eq 0 ] || { echo 'secure_db_fields mysql uninstall: run as root' >&2; exit 2; }
+
+source "$ROOT/bin/common"
+sdf_resolve_mysql
+sdf_mysql_args
+sdf_require_mysql57
+sdf_require_expected_socket
+sdf_read_udf_state
+sdf_require_clean_owned_state
+PLUGIN_DIR="$(sdf_plugin_dir)"
+sdf_drop_owned_udfs
+rm -f "$PLUGIN_DIR/$SDF_UDF_LIBRARY"
+
+echo "SecureDBFields MySQL UDFs disabled and library removed from $PLUGIN_DIR."

data/db_deployment/mysql/bin/verify

@@ -0,0 +1,27 @@
+#!/usr/bin/env bash
+set -euo pipefail
+
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
+cd "$ROOT"
+
+if command -v sha256sum >/dev/null 2>&1; then
+  sha256sum -c SHA256SUMS
+elif command -v shasum >/dev/null 2>&1; then
+  shasum -a 256 -c SHA256SUMS
+else
+  echo 'secure_db_fields mysql verify: sha256sum or shasum is required' >&2
+  exit 2
+fi
+
+test -f src/secure_db_fields_mysql.c
+test -f src/secure_db_fields_core.c
+test -f src/secure_db_fields_core.h
+test -f src/mysql_udf_abi_57.h
+test -f sql/install.sql
+test -f sql/uninstall.sql
+if find . -name '.DS_Store' | grep -q .; then
+  echo 'deployment bundle must not contain .DS_Store' >&2
+  exit 2
+fi
+cc -DSDF_MYSQL_UDF_ABI_57 -Isrc -fsyntax-only src/secure_db_fields_mysql.c
+printf 'secure_db_fields mysql bundle verify: ok\n'

data/db_deployment/mysql/sql/examples.sql

@@ -0,0 +1,20 @@
+ALTER TABLE clients
+  ADD COLUMN secure_row_uid BINARY(16) NULL,
+  ADD COLUMN phone_enc VARBINARY(512) NULL,
+  ADD COLUMN phone_bidx BINARY(32) NULL,
+  ADD INDEX idx_clients_phone_bidx (phone_bidx);
+
+
+CREATE OR REPLACE VIEW admin_clients_readable AS
+SELECT
+  id,
+  secure_db_fields_decrypt_field(phone_enc, 'clients', 'phone', secure_row_uid) AS phone,
+  created_at
+FROM clients;
+
+SELECT
+  id,
+  secure_db_fields_decrypt_field(phone_enc, 'clients', 'phone', secure_row_uid) AS phone,
+  created_at
+FROM clients
+WHERE phone_bidx = secure_phone_bidx('+77771234567');

data/db_deployment/mysql/sql/install.sql

@@ -0,0 +1,20 @@
+
+DROP FUNCTION IF EXISTS secure_db_fields_version;
+DROP FUNCTION IF EXISTS secure_db_fields_is_valid_envelope;
+DROP FUNCTION IF EXISTS secure_db_fields_envelope_key_id;
+DROP FUNCTION IF EXISTS secure_db_fields_decrypt;
+DROP FUNCTION IF EXISTS secure_db_fields_decrypt_field;
+DROP FUNCTION IF EXISTS secure_db_fields_bidx;
+DROP FUNCTION IF EXISTS secure_phone_bidx;
+DROP FUNCTION IF EXISTS secure_phone_prefix_bidx;
+
+CREATE FUNCTION secure_db_fields_version RETURNS STRING SONAME 'secure_db_fields_mysql.so';
+CREATE FUNCTION secure_db_fields_is_valid_envelope RETURNS INTEGER SONAME 'secure_db_fields_mysql.so';
+CREATE FUNCTION secure_db_fields_envelope_key_id RETURNS INTEGER SONAME 'secure_db_fields_mysql.so';
+CREATE FUNCTION secure_db_fields_decrypt RETURNS STRING SONAME 'secure_db_fields_mysql.so';
+CREATE FUNCTION secure_db_fields_decrypt_field RETURNS STRING SONAME 'secure_db_fields_mysql.so';
+CREATE FUNCTION secure_db_fields_bidx RETURNS STRING SONAME 'secure_db_fields_mysql.so';
+CREATE FUNCTION secure_phone_bidx RETURNS STRING SONAME 'secure_db_fields_mysql.so';
+CREATE FUNCTION secure_phone_prefix_bidx RETURNS STRING SONAME 'secure_db_fields_mysql.so';
+
+SELECT secure_db_fields_version();

data/db_deployment/mysql/sql/uninstall.sql

@@ -0,0 +1,8 @@
+DROP FUNCTION IF EXISTS secure_phone_prefix_bidx;
+DROP FUNCTION IF EXISTS secure_phone_bidx;
+DROP FUNCTION IF EXISTS secure_db_fields_bidx;
+DROP FUNCTION IF EXISTS secure_db_fields_decrypt_field;
+DROP FUNCTION IF EXISTS secure_db_fields_decrypt;
+DROP FUNCTION IF EXISTS secure_db_fields_envelope_key_id;
+DROP FUNCTION IF EXISTS secure_db_fields_is_valid_envelope;
+DROP FUNCTION IF EXISTS secure_db_fields_version;

data/docs/final_decision.md

@@ -0,0 +1,202 @@
+# secure_db_fields — финальное решение (locked)
+
+Заменяет черновой design-док. Это закрывающее решение с зафиксированными
+границами для MySQL 5.7 + Ruby/Rails. Целевая совместимость: Ruby >= 2.7.1, MySQL 5.7. Крипто-ядро и архитектура заморожены;
+единственный оставшийся вход — инвентаризация запросов (см. §10).
+
+---
+
+## 1. Вердикт
+
+Пишем **свой узкий field-encryption слой по архитектуре multi_compress**, без
+собственной криптографии: рандомизированный AEAD + keyed blind index +
+MySQL UDF/view + миграционный контракт. Не готовый продукт, не pq_crypto,
+не property-preserving.
+
+Форма: небольшой **явный конфиг для конкретных полей** (телефон, email, ИИН,
+ФИО), а не DSL-генератор. Кодогенерацию/платформу заводить только если впереди
+десятки полей — иначе это лишняя поверхность.
+
+---
+
+## 2. Что отвергнуто и почему (проверено по первоисточникам)
+
+| Вариант | Причина отказа |
+|---|---|
+| pq_crypto | KEM/подписи, а не field-encryption. Симметричная задача. Плюс сам гем не аудирован. |
+| MySQL `AES_ENCRYPT` | Дефолт `block_encryption_mode` = `aes-128-ecb` (ECB); не AEAD. |
+| TDE / InnoDB at-rest | Защищает физические файлы, но не логический `mysqldump`/`SELECT INTO OUTFILE`. |
+| Acra CE | По их докам: не хранит search-хеши отдельно от ciphertext → поиск требует functional indexes, которых в MySQL 5.7 нет; LIKE — только Enterprise. |
+| D'Amo / MyDiamo | Заявляют «keeps the order + range search» = property-preserving; вскрывается inference-атаками (Naveed–Kamara–Wright, Lacharité–Minaud–Paterson). Требует security review. |
+| CipherStash | PostgreSQL + proxy/EQL. Не MySQL. |
+| SQL Server Always Encrypted | LIKE/range только через secure enclaves (другой движок + TEE). |
+| MongoDB Queryable Encryption | Другой движок; prefix/suffix/substring — public preview, не для прода. |
+| Lockbox / blind_index / CipherSweet | Хорошая модель (мы её и берём), но не дают MySQL UDF, admin view, DBA bundle. |
+| generated column bidx через UDF | В MySQL 5.7 stored/loadable функции в generated column запрещены (есть verified crash bug). |
+| OPE / FPE / range-preserving | Property-preserving leakage. Вне scope. |
+
+---
+
+## 3. Крипто-ядро
+
+```
+encryption:  AES-256-GCM (OpenSSL), рандомизированный nonce, envelope
+search:      blind index = HMAC-SHA256(bidx_key, normalized_value)
+keys:        отдельные ключи под шифрование и под каждый blind index; HKDF из мастера
+AAD:         "table.column:" || secure_row_uid   (не хранится, восстанавливается)
+envelope:    magic "MCEN" | version | alg_id | key_id | nonce(12) | tag(16) | ciphertext
+```
+
+Nonce: per-column ключ → на объёме одной колонки далеко под лимитом 2³² случайного
+GCM-nonce, отдельный XChaCha/counter не нужен.
+
+Общий C-core компилируется в Ruby-ext и в MySQL-UDF (как MCDB в multi_compress).
+
+---
+
+## 4. Схема колонок (пример clients.phone)
+
+```sql
+secure_row_uid   BINARY(16)   -- генерится в Ruby ДО INSERT, неизменяем, обязателен для AAD
+phone_enc        VARBINARY    -- envelope
+phone_bidx       BINARY(32)   -- exact / UNIQUE
+-- prefix/suffix колонки добавляются ТОЛЬКО по инвентаризации (§10), напр.:
+-- phone_bidx_p7 BINARY(32)
+INDEX idx_clients_phone_bidx (phone_bidx)
+```
+
+- Физические колонки, не generated. bidx считает приложение/backfill.
+- `NULL` value → `NULL` bidx (несколько пустых не конфликтуют под UNIQUE).
+- Нормализация коллизий: два ввода, канонизирующихся в один E.164, дадут одно
+  UNIQUE-значение — принять семантику заранее.
+
+---
+
+## 5. Контракт поиска + реестр утечек (leakage ledger)
+
+Каждый режим поиска несёт именованную, принятую утечку. Ничего сверх объявленного
+не поддерживаем.
+
+| Режим | Как | Утечка в дампе БЕЗ ключа | Вердикт |
+|---|---|---|---|
+| exact (полное значение) | `bidx = HMAC(E.164)` | для телефона ≈ нет (значения почти уникальны); видно равенство одинаковых номеров | безопасно |
+| `IN (...)`, `UNIQUE` | тот же bidx | то же | безопасно |
+| `JOIN` по bidx | общий ключ между таблицами | кросс-табличное равенство поля | ок, если задумано |
+| prefix длины N | `bidx_pN = HMAC(первые N цифр)` | низкая кардинальность: видно, какие строки делят N-значный префикс | принять **по каждой длине**, только если реально используется |
+| suffix / last4 | `HMAC(последние 4)` | ОЧЕНЬ низкая кардинальность (≤10⁴ классов): сильный equality/frequency-сигнал | **highest-risk — обосновать или выкинуть** |
+| `LIKE '%x%'` (инфикс) | — | требует ngram/bloom/proxy | **вне scope** |
+| `ORDER BY` / range | — | property-preserving → восстановление plaintext | **вне scope** |
+
+Общее: при утечке **ключа** (компрометация хоста) любой bidx перебираем словарём
+(телефон — перечислимое пространство). Вся защита держится на «ключ вне дампа».
+
+---
+
+## 6. Контракт доступа админов (DBeaver/DataGrip)
+
+**View — только для просмотра**, фильтр по неприватным колонкам:
+```sql
+CREATE VIEW admin_clients_readable AS
+SELECT id, secure_decrypt_phone(phone_enc, secure_row_uid) AS phone, created_at
+FROM clients;
+-- SELECT ... WHERE id = 123;   -- ок
+```
+Не давать `SELECT * FROM admin_clients_readable` без фильтра: это массовый decrypt
+(и `INTO OUTFILE` из view выгрузит plaintext). Ограничить грантами/лимитом.
+
+**Поиск — только через официальный контракт** (индекс по bidx, decrypt на проекции):
+```sql
+CALL admin_find_client_by_phone('+77771234567');
+-- или query-template:
+SELECT id, secure_decrypt_phone(phone_enc, secure_row_uid) AS phone
+FROM clients
+WHERE phone_bidx = secure_phone_bidx('+77771234567');
+```
+`WHERE phone = ...` по decrypt-view — запрещённый паттерн (decrypt-scan; view не
+индексируется, TEMPTABLE не использует индексы базовой таблицы).
+
+---
+
+## 7. Ключи и принятая граница угроз
+
+```
+Ключи:  /etc/secure_db_fields/keys.json (owner root, group mysql, mode 0640)
+        или keyring/KMS. Вне любой таблицы, НИКОГДА в SQL-аргументе.
+В БД:   ciphertext, key_id, bidx, secure_row_uid, metadata. Ключей нет.
+```
+
+**Явно принятая модель (записать в контракт, не подразумевать):**
+- Утёк дамп/таблица БЕЗ ключей → приватные поля не читаются. ✔ (цель)
+- Утёк дамп + файл ключа / компрометация хоста → защита пробита. ✘ (вне модели)
+- Админ с доступом к decrypt-view/UDF → видит plaintext. Это разрешённый пользователь.
+- decrypt-UDF — оракул для любого, кто может его вызвать на живом сервере.
+  Граница контроля — доступ к колонкам/view/процедурам/файлу ключа
+  (у loadable UDF нет `GRANT EXECUTE`).
+
+Ротация: `key_id`/версии в envelope; новые записи под новым ключом, старые
+читаются старым; rewrap лениво.
+
+---
+
+## 8. Нормализация — часть контракта
+
+Канонизация в приложении **до** шифрования и bidx; DB-helper принимает уже E.164.
+```
+8 777 123 45 67 / +7 (777) 123-45-67  →  +77771234567
+secure_phone_bidx('+77771234567')  -- ok
+secure_phone_bidx('8 777 ...')     -- error, а не «угадывание»
+```
+Нормализатор — в общем C-core (байт-в-байт одинаково в Ruby и UDF), иначе bidx
+разъедутся. Префиксный поиск нормализуется теми же правилами (иначе `8777%` и
+`+7777%` дадут разные `bidx_pN`), и `bidx_pN` отвечает ровно на длину N.
+
+---
+
+## 9. Миграция (dual-write, zero-downtime)
+
+```
+1. Инвентаризация запросов (§10) → финальный список bidx-колонок.
+2. ALTER TABLE: secure_row_uid, *_enc, *_bidx(+ объявленные), индексы. Все NULL.
+3. Backfill батчами: uid + enc + bidx из открытого значения. Идемпотентно.
+4. Dual-write: приложение пишет старую колонку И новые; чтение/поиск → на bidx.
+5. Admin views + search procedures + гранты + отдельные DB-пользователи.
+6. Верификация: counts, sample-decrypt, паритет старый LIKE vs новый bidx, EXPLAIN.
+7. Бэкап → DROP старых plaintext-колонок (точка невозврата).
+8. (опц.) UNIQUE на bidx после чистки дублей/NULL.
+```
+Backfill обязан проставить `secure_row_uid` всем старым строкам; копирование строки
+без переноса uid ломает AAD.
+
+---
+
+## 10. Единственный оставшийся вход: инвентаризация запросов
+
+Схема bidx-колонок — это **функция от реальных запросов**. До её сбора список
+`*_bidx_p*`/`last4` — гадание. Собрать из `general_log`/`slow_log`/кода приложения
+по каждому приватному полю:
+
+```
+phone = ?           → exact bidx           (безопасно)
+phone IN (...)       → exact bidx           (безопасно)
+UNIQUE(phone)        → exact bidx unique    (безопасно)
+JOIN ON phone        → общий bidx-домен     (равенство кросс-таблиц)
+phone LIKE '777%'    → bidx_pN конкретной N (низкокардинальная утечка)
+phone LIKE '%1234'   → last4                (highest-risk — обосновать/выкинуть)
+phone LIKE '%777%'   → decrypt-scan / вне scope
+ORDER BY / range     → вне scope
+```
+
+Итог инвентаризации = точный список колонок и индексов, который лочит §4–§5.
+
+---
+
+## 11. Границы (окончательно)
+
+```
+Поддерживаем:  Ruby encrypt/decrypt/search; MySQL decrypt-UDF; admin views;
+               exact/IN/UNIQUE через blind index; объявленные prefix/lastN;
+               JOIN по bidx-домену; dual-write backfill; key_id/версии; AAD.
+Не поддерживаем: произвольный LIKE '%x%'; ORDER BY/range по plaintext;
+               «любой старый SQL работает как раньше»; generated bidx через UDF;
+               ключи в БД или в SQL; pq_crypto/KEM; deterministic/OPE/FPE как основа.
+```

data/docs/implementation_notes.md

@@ -0,0 +1,63 @@
+# Implementation notes
+
+## Compatibility
+
+- Ruby: `>= 2.7.1`. No `Data.define`, no Ruby 3-only syntax, no required keyword-argument forwarding.
+- MySQL: `5.7`. No functional indexes, no generated bidx columns via UDF, no MySQL 8-specific UDF assumptions.
+- OpenSSL: AES-256-GCM via libcrypto EVP APIs available on common MySQL 5.7 hosts.
+
+## Locked scope
+
+This package implements the lean version of the final decision:
+
+- explicit field configuration in the host app, not a DSL/codegen platform;
+- Ruby API for encryption/decryption/blind indexes;
+- C core shared by Ruby and MySQL UDF;
+- MySQL UDF SQL install/uninstall/examples;
+- physical `*_bidx` columns only.
+
+## Envelope format MCEN1
+
+```text
+magic      4 bytes  "MCEN"
+version    1 byte   1
+alg_id     1 byte   1 = AES-256-GCM
+key_id     4 bytes  big-endian uint32
+nonce     12 bytes  random GCM nonce
+tag       16 bytes  GCM auth tag
+ciphertext N bytes
+```
+
+AAD is not stored. It must be reconstructed as:
+
+```text
+<table>.<column>:<16 raw bytes secure_row_uid>
+```
+
+## Key file format
+
+```env
+SDF_ACTIVE_KEY_ID=1
+SDF_ENC_KEY_1_HEX=<64 hex chars>
+SDF_BIDX_PHONE_KEY_HEX=<64 hex chars>
+SDF_BIDX_PHONE_P7_KEY_HEX=<64 hex chars>
+```
+
+## Admin SQL boundary
+
+Readable views are for projection. Indexed search must use bidx predicates or stored procedures.
+
+## Hot-path implementation notes (0.1.1)
+
+The Ruby extension has separate scalar and batch paths:
+
+- Scalar `blind_index` keeps the simple shared C-core `sdf_blind_index` path.
+- Batch bidx methods use a fixed HMAC-SHA256 implementation in the Ruby extension:
+  the 64-byte ipad/opad SHA256 states are precomputed once per batch, then copied
+  per value. This avoids `HMAC_CTX_new/free/reset` and repeated pad hashing.
+- Packed batch methods (`*_many_packed`) return one binary String containing
+  concatenated 32-byte digests, avoiding Array + String-per-digest allocation.
+- Ruby encrypt/decrypt paths allocate the destination Ruby String first and call
+  `sdf_*_aes_256_gcm_into`, avoiding native `malloc -> rb_str_new copy -> free`.
+
+The version remains `0.1.1`; these are implementation-level hot-path optimizations.

data/docs/ruby_27_mysql_57.md

@@ -0,0 +1,33 @@
+# Ruby 2.7.1 + MySQL 5.7 compatibility notes
+
+This package targets Ruby `>= 2.7.1` and MySQL `5.7`.
+
+## Ruby
+
+The Ruby layer intentionally avoids Ruby 3-only constructs:
+
+- no `Data.define`;
+- no endless methods;
+- no pattern matching dependency;
+- no anonymous argument forwarding (`...`);
+- no Ruby 3-only keyword-argument behavior assumptions.
+
+The native extension uses the stable Ruby C API available in Ruby 2.7.
+
+## MySQL 5.7
+
+The MySQL layer intentionally avoids MySQL 8-only features:
+
+- no functional indexes;
+- no generated columns backed by stored/loadable functions;
+- bidx/search tokens are physical `BINARY(32)` columns;
+- admin search uses stored procedures/query templates with `WHERE *_bidx = secure_*_bidx(...)`.
+
+The `mysql_udf/src/mysql_udf_abi_57.h` shim lets the UDF source compile in a MySQL 5.7-compatible ABI mode when headers are not present:
+
+```bash
+cd mysql_udf
+make abi57
+```
+
+A live MySQL 5.7 server is still required for integration testing and `CREATE FUNCTION` installation.

data/examples/clients_phone_migration.sql

@@ -0,0 +1,6 @@
+ALTER TABLE clients
+  ADD COLUMN secure_row_uid BINARY(16) NULL,
+  ADD COLUMN phone_enc VARBINARY(512) NULL,
+  ADD COLUMN phone_bidx BINARY(32) NULL,
+  ADD INDEX idx_clients_phone_bidx (phone_bidx);
+

data/examples/keys.env.example

@@ -0,0 +1,6 @@
+# Example only. Replace with cryptographically random 32-byte keys.
+SDF_ACTIVE_KEY_ID=1
+SDF_ENC_KEY_1_HEX=0000000000000000000000000000000000000000000000000000000000000001
+SDF_BIDX_KEY_HEX=0000000000000000000000000000000000000000000000000000000000000002
+SDF_BIDX_PHONE_KEY_HEX=0000000000000000000000000000000000000000000000000000000000000003
+SDF_BIDX_PHONE_P7_KEY_HEX=0000000000000000000000000000000000000000000000000000000000000004

data/examples/ruby_usage.rb

@@ -0,0 +1,15 @@
+# frozen_string_literal: true
+
+require "securerandom"
+require "secure_db_fields"
+
+keyring = SecureDBFields::Keyring.new(File.expand_path("keys.env.example", __dir__))
+uid = SecureRandom.random_bytes(16)
+phone = "+77771234567"
+
+aad = SecureDBFields::Crypto.aad("clients", "phone", uid)
+phone_enc = SecureDBFields::Crypto.encrypt(phone, key: keyring.encryption_key(1), aad: aad, key_id: 1)
+phone_bidx = SecureDBFields::Crypto.phone_blind_index(phone, key: keyring.blind_index_key("PHONE"))
+
+puts SecureDBFields::Crypto.decrypt(phone_enc, key: keyring.encryption_key(1), aad: aad)
+puts phone_bidx.unpack1("H*")

data/exe/secure_db_fields

@@ -0,0 +1,49 @@
+#!/usr/bin/env ruby
+# frozen_string_literal: true
+
+if ARGV.first == "db"
+  require "secure_db_fields/db_deployment"
+  exit SecureDBFields::DBDeployment::CLI.run(ARGV.drop(1))
+end
+
+require "secure_db_fields"
+
+module SecureDBFields
+  class CLI
+    def self.run(argv)
+      new.run(argv)
+    end
+
+    def run(argv)
+      case argv.first
+      when "--version", "-v"
+        puts "secure_db_fields #{SecureDBFields::VERSION}"
+        0
+      when "--help", "-h", nil
+        puts help
+        0
+      else
+        warn "secure_db_fields: unknown command #{argv.first.inspect}"
+        warn help
+        2
+      end
+    end
+
+    private
+
+    def help
+      <<~TEXT
+        Usage:
+          secure_db_fields --version
+          secure_db_fields db package mysql [--output PATH] [--force]
+          secure_db_fields db view mysql --table DB.TABLE --field NAME:ENC_COLUMN \\
+            --uid-column secure_row_uid --view DB.VIEW --columns ID,CREATED_AT [--output PATH]
+
+        `db package mysql` creates a DBA handoff archive. Extract it on the MySQL 5.7
+        host and run `make doctor`, `sudo make install`, `make enable`, `make status`.
+      TEXT
+    end
+  end
+end
+
+exit SecureDBFields::CLI.run(ARGV)

data/ext/secure_db_fields/extconf.rb

@@ -0,0 +1,21 @@
+# frozen_string_literal: true
+
+require "mkmf"
+
+abort "OpenSSL headers are required" unless have_header("openssl/evp.h")
+abort "OpenSSL libcrypto is required" unless have_library("crypto", "EVP_aes_256_gcm")
+
+clang_only_wno = %w[
+  -Wno-self-assign
+  -Wno-parentheses-equality
+  -Wno-constant-logical-operand
+]
+if RbConfig::CONFIG["CC"].to_s !~ /clang/i
+  $warnflags = $warnflags.to_s.split.reject { |flag| clang_only_wno.include?(flag) }.join(" ")
+end
+
+$CFLAGS << " -std=c99 -Wall -Wextra -Werror=implicit-function-declaration"
+$CFLAGS << " -DOPENSSL_SUPPRESS_DEPRECATED"
+$CFLAGS << " -fstack-protector-strong -D_FORTIFY_SOURCE=2 -Wformat -Wformat-security"
+
+create_makefile("secure_db_fields/secure_db_fields")