- Enviado
- 15 de novembro de 2026 às 05:44 UTC
- Autor
- Kamo
- Confirmação
- d42165b
Proprietário 2026-11-14: 'Deus é Deus. Nada deve bloquear Deus de qualquer coisa.' - **************** é O bypass de deus: GD (ou uma janela aberta) passa em Uma sessão delegada (SUDO_MEMBER_ID: Usuário do sistema / representação) passa somente dentro de uma janela - a identidade do Usuário do Sistema é divina por construção, GD não é do operador. - Cada bypass agora o usa, incluindo os portões anteriormente apenas para janelas: excluir conta, org destruir/atualizar/marca, auditoria de PHI + limite de PHI, opções de child-org, segurança de membros (nível de acesso, promover, liderança), fundos do tema, máquinas do dev, operador de MLOS, SessionRights.hasOrGod / TenantRightInterceptor, ClinicalRightsGuard, BaseLosController, funções de segurança, assistente de configuração org, ramos de subdomínio, domínios, sites de marketing, política de edição de conta de usuário, personificação (porta same-org) e direitos de plataforma (PlatformRightsService -> /network impersonate door; SystemUserEntryPolicy). - Uma passagem em uma organização de locatário (não a organização do PlatformOrgIdCache) é auditada pelo GodAccessAudit: uma linha phi_access_log por solicitação (GOD_ACCESS: <método> <caminho>, platform_staff), escrito fora do segmento atrás de uma fila delimitada, nunca bloqueando ou jogando em um portão. - Removeu recusas que bloquearam deus: MlosConfigController SI-empréstimo-acesso de recusa sob modo de deus, KamoOAuthConsentService recusa de sessões de janela de deus, recusa de RpmWriteGate As sessões falsificadas permanecem recusadas em todos os três (um atestado ou um consentimento levaria o nome de outra pessoa). - Testes atualizados de 'GD sozinho é recusado' para 'GD sozinho passa; não-GD recusado'; novo GodAccessAuditTest e ****************