ops(OPS52-media-guard): reconcile do media:recover exige MEDIA_RECOVER_CONFIRM=1 (guard de intenção explícita) #50

Merged

fsolla merged 1 commit from OPS52-media-guard-ops52-media-guard-de-intencao-explicita-pa into main

2026-08-18 16:28:28 +00:00

fsolla commented

2026-08-18 15:10:06 +00:00

Owner

Closes #37

OPS52-media-guard — Guard de intenção explícita para escrita em bucket de produção

O modo reconcile (padrão, escrita) do pnpm media:recover agora exige MEDIA_RECOVER_CONFIRM=1 para armar a escrita no bucket — antes bastava o conjunto completo de S3_* (um worktree com credenciais de prod + rows locais via db:pull escreveria covers no bucket de prod; o echo do alvo mostrava, não impedia).

scripts/lib/cli.mjs: isTruthyEnv novo (semântica exata true|1, sem trim/case — TRUE/yes continuam recusados); isRemoteDbOverrideSet passou a delegar (sem twin).
scripts/recover-media.mjs: gate fail-closed antes de DB/S3/rede — sem a flag, exit 1 com o comando correto; --dry-run/--verify seguem sem flag (não escrevem).
tests/unit/cliEnvFlags.unit.spec.ts: pin das semânticas + preservação do ALLOW_REMOTE_DB.
Docs: runbook do homeserver atualizado (passo 3 com a flag), nota no AGENTS.md, changelog, impl plan docs/plans/ops52-media-guard-impl.md.
Débito registrado no /simplify: OPS60 (#49) — db:seed:posts escreve no bucket via adapter S3 sem flag de intenção (mesma classe de risco; depends: [37], plano docs/plans/ops60-seed-posts-guard-escrita-s3.md).

Gates verdes: lint, typecheck, 2322 unit, 791 int, format:check, knip (erro P3 pré-existente), check:cycles, build local.

Closes #37 ## OPS52-media-guard — Guard de intenção explícita para escrita em bucket de produção O modo reconcile (padrão, escrita) do `pnpm media:recover` agora exige `MEDIA_RECOVER_CONFIRM=1` para armar a escrita no bucket — antes bastava o conjunto completo de `S3_*` (um worktree com credenciais de prod + rows locais via db:pull escreveria covers no bucket de prod; o echo do alvo mostrava, não impedia). - **`scripts/lib/cli.mjs`**: `isTruthyEnv` novo (semântica exata `true|1`, sem trim/case — `TRUE`/`yes` continuam recusados); `isRemoteDbOverrideSet` passou a delegar (sem twin). - **`scripts/recover-media.mjs`**: gate fail-closed antes de DB/S3/rede — sem a flag, exit 1 com o comando correto; `--dry-run`/`--verify` seguem sem flag (não escrevem). - **`tests/unit/cliEnvFlags.unit.spec.ts`**: pin das semânticas + preservação do `ALLOW_REMOTE_DB`. - **Docs**: runbook do homeserver atualizado (passo 3 com a flag), nota no AGENTS.md, changelog, impl plan `docs/plans/ops52-media-guard-impl.md`. - **Débito registrado no /simplify**: OPS60 (#49) — `db:seed:posts` escreve no bucket via adapter S3 sem flag de intenção (mesma classe de risco; `depends: [37]`, plano `docs/plans/ops60-seed-posts-guard-escrita-s3.md`). Gates verdes: lint, typecheck, 2322 unit, 791 int, format:check, knip (erro P3 pré-existente), check:cycles, build local.

fsolla added 1 commit 2026-08-18 15:10:06 +00:00