发布 0.1.0:通知渠道、告警规则、令牌版本与安全加固

internal/oci/audit.go

@@ -93,6 +93,11 @@ func (c *RealClient) ListAuditEvents(ctx context.Context, cred Credentials, regi
 
 // appendAuditEvents 过滤噪声后追加一页事件;原始事件只对保留条目序列化。
 func appendAuditEvents(result *AuditEventsResult, items []audit.AuditEvent) {
+	result.Items = appendKeptAuditEvents(result.Items, items)
+}
+
+// appendKeptAuditEvents 是过滤追加的通用形态,窗口式与批式查询共用。
+func appendKeptAuditEvents(dst []AuditEvent, items []audit.AuditEvent) []AuditEvent {
 	for _, ev := range items {
 		out := toAuditEvent(ev)
 		if !keepAuditEvent(out) {
@@ -101,8 +106,115 @@ func appendAuditEvents(result *AuditEventsResult, items []audit.AuditEvent) {
 		if raw, mErr := json.Marshal(ev); mErr == nil {
 			out.Raw = raw
 		}
-		result.Items = append(result.Items, out)
+		dst = append(dst, out)
 	}
+	return dst
+}
+
+// ---- 批式懒加载查询:分窗回溯 + 游标续查 ----
+
+// 批式查询参数:单批 OCI 翻页预算沿用 maxAuditPages;首窗 24h,
+// 连续空窗倍增(上限 30 天)加速跨越闲置期;回溯下限为事件保留期 365 天。
+const (
+	auditWindowHours    = 24
+	auditWindowMaxHours = 720
+	auditRetentionDays  = 365
+)
+
+// AuditCursor 是批式查询的续查位置:当前时间窗、窗内 OCI 翻页游标
+// 与当前窗宽(小时,空窗倍增的记忆)。序列化为不透明 cursor 由 service 层负责。
+type AuditCursor struct {
+	Start       time.Time `json:"s"`
+	End         time.Time `json:"e"`
+	Page        string    `json:"p,omitempty"`
+	WindowHours int       `json:"w"`
+}
+
+// NewAuditCursor 构造首查游标:自 now 起回溯第一个 24h 窗。
+func NewAuditCursor(now time.Time) AuditCursor {
+	end := now.UTC().Truncate(time.Minute)
+	return AuditCursor{Start: end.Add(-auditWindowHours * time.Hour), End: end, WindowHours: auditWindowHours}
+}
+
+// advance 推进到紧邻更早的窗;empty 表示刚结束的窗无保留事件,窗宽倍增,
+// 否则重置 24h。done 为 true 表示已越过保留期尽头。
+func (cur AuditCursor) advance(now time.Time, empty bool) (AuditCursor, bool) {
+	w := cur.WindowHours
+	if w <= 0 {
+		w = auditWindowHours
+	}
+	if empty {
+		if w *= 2; w > auditWindowMaxHours {
+			w = auditWindowMaxHours
+		}
+	} else {
+		w = auditWindowHours
+	}
+	end := cur.Start
+	if end.Before(now.UTC().AddDate(0, 0, -auditRetentionDays)) {
+		return cur, true
+	}
+	return AuditCursor{Start: end.Add(-time.Duration(w) * time.Hour), End: end, WindowHours: w}, false
+}
+
+// AuditBatchResult 是一批懒加载结果;Cursor 为 nil 且 Exhausted 为 true
+// 表示已回溯到保留期尽头,无更早数据。
+type AuditBatchResult struct {
+	Items     []AuditEvent
+	Cursor    *AuditCursor
+	Exhausted bool
+}
+
+// ListAuditEventsBatch 实现 Client:从 cur 位置向更早方向收集约 limit 条
+// 保留事件;单批最多消费 maxAuditPages 页 OCI 调用,不足额也按预算返回,
+// 由前端按需续查。窗口不重叠 + 窗内游标续翻保证跨批不重不漏。
+func (c *RealClient) ListAuditEventsBatch(ctx context.Context, cred Credentials, region string, cur AuditCursor, limit int) (AuditBatchResult, error) {
+	ac, err := c.auditClient(cred, region)
+	if err != nil {
+		return AuditBatchResult{}, err
+	}
+	res := AuditBatchResult{Items: []AuditEvent{}}
+	windowHasKept := false
+	for budget := maxAuditPages; budget > 0 && len(res.Items) < limit; budget-- {
+		items, next, err := listAuditPage(ctx, ac, cred.TenancyOCID, cur)
+		if err != nil {
+			return AuditBatchResult{}, err
+		}
+		before := len(res.Items)
+		res.Items = appendKeptAuditEvents(res.Items, items)
+		windowHasKept = windowHasKept || len(res.Items) > before
+		if next != "" {
+			cur.Page = next
+			continue
+		}
+		nextCur, done := cur.advance(time.Now(), !windowHasKept)
+		if done {
+			res.Exhausted = true
+			sortAuditEvents(res.Items)
+			return res, nil
+		}
+		cur, windowHasKept = nextCur, false
+	}
+	sortAuditEvents(res.Items)
+	res.Cursor = &cur
+	return res, nil
+}
+
+// listAuditPage 拉取当前游标位置的一页原始事件。
+func listAuditPage(ctx context.Context, ac audit.AuditClient, tenancyOCID string, cur AuditCursor) ([]audit.AuditEvent, string, error) {
+	req := audit.ListEventsRequest{
+		CompartmentId: &tenancyOCID,
+		StartTime:     &common.SDKTime{Time: cur.Start.UTC().Truncate(time.Minute)},
+		EndTime:       &common.SDKTime{Time: cur.End.UTC().Truncate(time.Minute)},
+	}
+	if cur.Page != "" {
+		req.Page = &cur.Page
+	}
+	resp, err := ac.ListEvents(ctx, req)
+	if err != nil {
+		return nil, "", fmt.Errorf("list audit events: %w", err)
+	}
+	return resp.Items, deref(resp.OpcNextPage), nil
 }
 
 // auditInternalCIDRs 是 OCI 服务内部互调的发起方网段(RFC1918 + CGNAT)。