davideandClaude Sonnet 5.5
b424f670c5
- Add docs/README.md as the index of all documentation. - Split the 52 DEC entries of decisioni-e-limiti.md into docs/adr/ADR-NN files (same numbers), add ADR-53 (audit log), TEMPLATE.md and an ADR index with a feature -> ADR table. - Rename decisioni-e-limiti.md to limiti-noti.md (LIM only) and rewrite all DEC-nn references as links to the ADRs. - Document the docs-first / SSOT / ADR rules in processo-di-modifica.md and map the docs in CLAUDE.md and README.md. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
2.6 KiB
ADR-07 — Ogni decisione che sposta denaro in base a una risposta di rete è corroborata da un quorum degli altri server configurati
- Stato: Accettata — implementazione da completare (B-83, B-84)
- Area: Conferme e fiducia nella rete
- Fonte di verità per: la scelta di progetto descritta qui sotto; i requisiti (
PREFISSO-NN) che la attuano stanno nei documenti di dominio, indicati nelle Conseguenze.
Decisione
Ogni decisione che sposta denaro in base a una risposta di
rete è corroborata da un quorum degli altri server configurati: il blocco
che semina l'estrazione, una moneta data per spesa all'esterno, un nuovo
deposito da accreditare, il ripristino di una moneta, la conferma di una
transazione (con prova merkle contro un header che possediamo), l'abbandono
di una transazione, le monete del round verificate prima del pagamento. Si
interrogano solo gli altri server, mai quello attivo (che è ciò che un
attaccante controllerebbe); servono almeno 2 risposte e la maggioranza
stretta di chi risponde. Il server rifiuta di partire con meno di 2 server
di riserva, salvo ALLOW_NO_QUORUM=true (solo sviluppo). Se rispondono meno
di 2 server, la corroborazione fallisce.
- Motivazione: un solo server ostile non deve poter scegliere il vincitore (B-28), azzerare un saldo (B-29) o gonfiarlo (B-59), né far credere confermato un pagamento mai trasmesso (B-83). I saldi si muovono in entrambe le direzioni, quindi entrambe richiedono il quorum. Con 0 o 1 server di riserva la «maggioranza» è una sola voce, o nessuna (B-84).
- Alternative scartate: quorum facoltativo, che passa sempre con la lista
vuota (la regola precedente: il default di
.env.examplespegneva ogni difesa senza avvisare). - Conseguenze: una corroborazione fallita ritarda, non perde e non libera fondi (ADR-51): il deposito è riproposto al refresh successivo, l'estrazione richiede di nuovo lo stesso blocco. Il quorum resta fra server scelti dall'operatore ([LIM-11]). Regole in connessione-electrum.md (B-83, B-84).
Codice: app/electrum/listener.py:ElectrumListener._corroborate_majority · app/electrum/listener.py:ElectrumListener.corroborate_header · app/electrum/listener.py:ElectrumListener.corroborate_utxo_spent · app/electrum/listener.py:ElectrumListener.corroborate_utxo_credit · app/main.py:lifespan ·
Test: tests/unit/test_electrum_listener.py
Stato: da implementare (B-83, B-84) · Oggi: senza server di riserva la
corroborazione passa sempre, basta una risposta, e conferme, ripristini e
abbandoni si decidono sul solo server attivo.