[FEATURE] Verify ML-DSA signatures embedded in provider docs (x-stackql-signature), with .sig fallback
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 38/100
- issue の種類
- 機能追加
- 明瞭さ
- 明確に書かれている
- 活発さ
- 活発
- 技術スタック
- go
- 領域
- cryptography, security
調査の方向性
Start with internal/anysdk/registry.go and the VerifierConfig definition, then check whether stackql/stackql-provider-registry#482 has released the signing/pqsig package this work depends on. Follow the existing .sig verification path and use canonicalisation from the shared registry package. Done means the listed ML-DSA cases pass per document, legacy fallback is configurable, and verification remains off by default.
索引モデルが issue の本文から書いたものです。
説明
Middle step of the registry's move to quantum-safe, embedded provider-doc signatures: stackql/stackql-provider-registry#482 (signing package) -> this issue (verification) -> stackql/stackql#856 (bump, config, docs). Verification is off by default in stackql (nopVerify: true), so this ships without changing user-facing behaviour. omnisdk, which is replacing any-sdk, gets the same verifier under stackql-labs/omnisdk#17.
NOTE: Must be compliant with at least FIPS 204.
What changes
internal/anysdk/registry.go:getVerifiedDocBytesfetches<doc>.sig(local path, local cache or remote) and callsedcrypto.VerifyFileFromCertificateBytes. New path, tried first: if the doc carriesx-stackql-signature, pop it, canonicalise the remainder with the registry's shared package (RFC 8785 JSON),mldsa.Verifyagainst the embedded public key selected bykid, contextstackql-provider-doc-v1. No key: fall back to the.sigpath. Both present: embedded wins.- Dependency: bump
github.com/stackql/stackql-provider-registryfromv0.0.2-alpha01to the release that shipssigning/pqsig.go.modtogo 1.27forcrypto/mldsa(currently 1.26.10). VerifierConfig: addallowLegacySig(default true for the transition) so the.sigfallback can be switched off later.nopVerifyuntouched.- Canonicalisation comes from the shared registry package. Do not reimplement it here or signatures will not match.
- Tests: fixtures signed at test time with ephemeral ML-DSA keys. Cases: valid, tampered after signing, unknown
kid, no key with and without.sig, both present.
Sequence and dependencies
- Blocked by stackql/stackql-provider-registry#482 step 1 (package release).
- This issue, then an any-sdk release.
- Unblocks stackql/stackql#856, which in turn unblocks the registry dropping
.sigfiles.
Notes
- Verification stays at doc-read time. Archive pull stays unverified; that is stackql/stackql#832's scope.
- Provider docs drive execution (
local_templatedand friends), so coverage must stay per doc, not onlyprovider.yaml.
- 主要言語
- Go
- スター
- 0
- フォーク
- 1
- 平均マージ
- 33分
- マージ済み PR（30日）
- 7
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
stackql/any-sdk のほかの issue
-
enhancement
難易度 3/5 1〜2日 初心者へのやさしさ 78/100
-
[FEATURE] GraphQL mutation support (operationType, variables payload, errors-in-200 selection)再び着手できるかも @jeffreyaven が 40 日前に担当しましたが、オープン中のプルリクエストはありません。 オープンenhancement
-
[FEATURE] Carry the naked upstream HTTP status code through the provider invoker boundary再び着手できるかも @jeffreyaven が 112 日前に担当しましたが、オープン中のプルリクエストはありません。 オープンenhancement
stackql/any-sdk の issue をすべて見る
似ている issue
-
[Bug]: ap gateway image build cannot find local policies on Windows対応中かも @Jayzilva が今日担当しました。 オープンAspect/Configuration Severity/Major
難易度 2/5 1〜3時間 初心者へのやさしさ 83/100
wso2/api-platform#3912 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
keyxmakerx/Chronicle#1721 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
Gentleman-Programming/gentle-ai#5720 ·
メンテナーはふだん 1 日以内に返信
-
compress: block buffers get re-zeroed on every call, and the zeroing is immediately overwrittenオープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
ClickHouse/ch-go#1218 ·
メンテナーはふだん 13 日以内に返信