@goodandready/dsh-kanban 0.2.15 → 0.2.16

package/README.ru.md

@@ -174,7 +174,7 @@ dsh-kanban:
 
 ## 🧪 Тестирование и верификация
 
-Запуск полного набора из более чем 710 юнит- и интеграционных тестов:
+Запуск полного набора из более чем 720 юнит- и интеграционных тестов:
 
 ```bash
 npm test

package/lib/store.js

@@ -13,7 +13,7 @@
 
 import { DatabaseSync } from 'node:sqlite'
 import { randomUUID } from 'node:crypto'
-import { mkdirSync, copyFileSync, readdirSync, unlinkSync, statSync } from 'node:fs'
+import { mkdirSync, copyFileSync, readdirSync, unlinkSync, statSync, chmodSync, existsSync } from 'node:fs'
 import { join } from 'node:path'
 import { keyBetween } from './order.js'
 import { DEFAULT_BOARDS, normalizeKind } from './config.js'
@@ -159,13 +159,48 @@ function rowToTask(row) {
   }
 }
 
+/**
+ * Обеспечить безопасные права доступа к каталогу хранилища и файлам базы.
+ * Каталог и подкаталог бэкапов: 0700 (rwx------)
+ * Файлы базы, WAL, SHM и файлы бэкапов: 0600 (rw-------)
+ *
+ * @param {string} dir каталог хранилища
+ */
+export function secureStorePermissions(dir) {
+  try {
+    if (existsSync(dir)) {
+      try { chmodSync(dir, 0o700) } catch { /* best-effort chmod on dir */ }
+      const entries = readdirSync(dir, { withFileTypes: true })
+      for (const entry of entries) {
+        const fullPath = join(dir, entry.name)
+        if (entry.isFile()) {
+          try { chmodSync(fullPath, 0o600) } catch { /* best-effort chmod on file */ }
+        } else if (entry.isDirectory() && entry.name === 'backups') {
+          try { chmodSync(fullPath, 0o700) } catch { /* best-effort chmod on backups dir */ }
+          try {
+            const backupFiles = readdirSync(fullPath, { withFileTypes: true })
+            for (const bFile of backupFiles) {
+              if (bFile.isFile()) {
+                try { chmodSync(join(fullPath, bFile.name), 0o600) } catch { /* best-effort chmod on backup file */ }
+              }
+            }
+          } catch { /* ignore readdir error on backups */ }
+        }
+      }
+    }
+  } catch {
+    /* best-effort permission hardening */
+  }
+}
+
 /**
  * Открыть хранилище задач.
  * @param {{dir: string}} options каталог, в котором лежит файл базы
  * @returns {object} интерфейс хранилища
  */
 export function openStore({ dir }) {
-  mkdirSync(dir, { recursive: true })
+  mkdirSync(dir, { recursive: true, mode: 0o700 })
+  secureStorePermissions(dir)
   const db = new DatabaseSync(join(dir, 'kanban.db'))
   db.exec('PRAGMA journal_mode = WAL')
   db.exec('PRAGMA foreign_keys = ON')
@@ -226,6 +261,9 @@ export function openStore({ dir }) {
   db.exec('PRAGMA synchronous = NORMAL')
   try { db.exec('PRAGMA optimize') } catch { /* pragma optimize best-effort */ }
 
+  // Повторно обеспечиваем права на созданные/изменённые файлы базы, WAL и SHM
+  secureStorePermissions(dir)
+
   const q = {
     boards: db.prepare('SELECT * FROM boards ORDER BY position'),
     insertTask: db.prepare(`INSERT INTO tasks
@@ -309,7 +347,8 @@ export function openStore({ dir }) {
 
     backupDatabase() {
       const backupsDir = join(dir, 'backups')
-      mkdirSync(backupsDir, { recursive: true })
+      mkdirSync(backupsDir, { recursive: true, mode: 0o700 })
+      try { chmodSync(backupsDir, 0o700) } catch { /* ignore */ }
       const stamp = new Date().toISOString().replace(/[:.]/g, '-')
       const backupName = `kanban-backup-${stamp}.db`
       const dest = join(backupsDir, backupName)
@@ -317,6 +356,7 @@ export function openStore({ dir }) {
         db.exec('PRAGMA wal_checkpoint(TRUNCATE)')
       } catch { /* wal checkpoint may not be strictly required */ }
       copyFileSync(join(dir, 'kanban.db'), dest)
+      try { chmodSync(dest, 0o600) } catch { /* ignore */ }
 
       // Ротация: сохраняем только последние 10 бэкапов
       try {
@@ -661,8 +701,14 @@ export function openStore({ dir }) {
       }
     },
 
+    securePermissions() {
+      secureStorePermissions(dir)
+    },
+
     close() {
+      try { secureStorePermissions(dir) } catch { /* ignore */ }
       db.close()
+      try { secureStorePermissions(dir) } catch { /* ignore */ }
     },
   }
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@goodandready/dsh-kanban",
-  "version": "0.2.15",
+  "version": "0.2.16",
   "description": "Visual Kanban board for DeepSeek Harness: Gitea and GitHub-backed tasks, workflow columns, and a dedicated agent session per task.",
   "type": "module",
   "main": "lib/index.js",