From 08a8cf51b362b184b78a0f8ed5e35ce884b192da Mon Sep 17 00:00:00 2001
From: lekss361 <alexey.kondratev@balance-pl.ru>
Date: Sun, 24 May 2026 14:21:36 +0300
Subject: [PATCH] =?UTF-8?q?fix(deploy):=20mute=20psql=20set=5Fconfig=20std?=
 =?UTF-8?q?out=20=E2=80=94=20prevent=20password=20leak=20in=20CI=20logs?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Review-bot PR #510 нашёл P0: `set_config(name,value,is_local)` возвращает
установленное значение, psql печатает rows на stdout без `-q`/`-A`/`-t`,
итог — фактический pw появляется в Forgejo Actions deploy logs (retained,
visible всем с repo read access).

Fix: оборачиваем оба `SELECT set_config(...)` в `\o /dev/null` / `\o`
brackets. Output mutes только для этих строк — NOTICE-сообщения из DO block
(idempotency signal 'tradein_fdw_reader password set') остаются видимыми.

Также добавлен rollback hint в комментарии: НЕ revert файл (вернёт сломанный
:'pw' внутри $$), а unset GENDESIGN_FDW_PASSWORD в .env.runtime на VPS.
---
 ops/db-bootstrap/set_tradein_fdw_password.sql | 18 +++++++++++++++++-
 1 file changed, 17 insertions(+), 1 deletion(-)

diff --git a/ops/db-bootstrap/set_tradein_fdw_password.sql b/ops/db-bootstrap/set_tradein_fdw_password.sql
index 0daf946a..459fb823 100644
--- a/ops/db-bootstrap/set_tradein_fdw_password.sql
+++ b/ops/db-bootstrap/set_tradein_fdw_password.sql
@@ -17,8 +17,21 @@
 -- Reference incident: deploy 2026-05-24 (post-merge PR #503) упал на
 -- "syntax error at or near ':'" в LINE 4 этого файла — :'pw' дошёл до сервера
 -- as literal вместо интерполяции.
+--
+-- ⚠️  `set_config(name, value, is_local) -> text` ВОЗВРАЩАЕТ установленное
+-- значение. Без `\o /dev/null` бы psql напечатал password на stdout → leak в
+-- Forgejo Actions deploy logs (retained, visible всем с repo read access).
+-- Поэтому оборачиваем оба set_config вызова в `\o /dev/null` / `\o` brackets
+-- — output mutes только для этих строк, NOTICE-сообщения из DO block
+-- (idempotency signal) остаются видимыми.
+--
+-- Rollback path: НЕ revert этого файла (вернёт сломанный `:'pw'` внутри $$).
+-- Корректный rollback — unset GENDESIGN_FDW_PASSWORD в /opt/gendesign/backend
+-- /.env.runtime на VPS, deploy.yml тогда пропустит этот шаг полностью.
 
+\o /dev/null
 SELECT set_config('app.fdw_pw', :'pw', false);
+\o
 
 DO $$
 BEGIN
@@ -31,5 +44,8 @@ BEGIN
 END $$;
 
 -- Clear GUC after use (defense-in-depth — не оставляем password в session state
--- даже на short connection).
+-- даже на short connection). Same \o trick — set_config return value is empty
+-- string here, но всё равно лишний row в stdout не нужен.
+\o /dev/null
 SELECT set_config('app.fdw_pw', '', false);
+\o