diff --git a/server/src/View/events.php b/server/src/View/events.php
index 0c3a597..11837a0 100644
--- a/server/src/View/events.php
+++ b/server/src/View/events.php
@@ -108,6 +108,7 @@ render_header('이벤트');
+
diff --git a/server/src/View/layout.php b/server/src/View/layout.php
index 014fbcc..bfeb771 100644
--- a/server/src/View/layout.php
+++ b/server/src/View/layout.php
@@ -26,6 +26,10 @@ if (!function_exists('view_url')) {
if (!function_exists('render_header')) {
function render_header(string $title): void {
$username = is_string($_SESSION['username'] ?? null) ? $_SESSION['username'] : null;
+ // 표시용일 뿐 권한 판정이 아니다. 보존 보류 버튼을 admin 에게만 보여주려고 쓰는데,
+ // 실제 차단은 EventDetailController 의 manage_compliance 검사가 한다 — 여기를
+ // 조작해도 서버가 403 을 낸다.
+ $role = is_string($_SESSION['role'] ?? null) ? $_SESSION['role'] : null;
// Which primary nav tab is active is derived from the page title so no view
// has to pass an extra argument. Login/detail titles match neither -> no tab lit.
// 페이지 이름은 nav 라벨 ·
· 세 곳이 같은 문자열을 쓴다. 예전에는
@@ -51,6 +55,7 @@ if (!function_exists('render_header')) {
<link rel="stylesheet" href="<?= view_url('/assets/app.css') ?>">
<script nonce="<?= view_e(\App\Security\Csp::nonce()) ?>">
window.APP_BASE =<?= json_encode(defined('APP_BASE') ? APP_BASE : '', JSON_UNESCAPED_SLASHES | JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT) ?>;
+window.APP_ROLE = <?= json_encode($role ?? '', JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT) ?>;
window.APP_USER = <?= json_encode($username ?? '', JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT) ?>;
</script>
</head>
diff --git a/server/tests/DispatcherLivenessTest.php b/server/tests/DispatcherLivenessTest.php
new file mode 100644
index 0000000..5d72b2d
--- /dev/null
+++ b/server/tests/DispatcherLivenessTest.php
@@ -0,0 +1,167 @@
+<?php
+declare(strict_types=1);
+namespace App\Tests;
+
+use App\Auth\ArraySessionStore;
+use App\Dashboard\{DeviceStatusController, EventDetailController};
+use App\Http\Request;
+use App\Repository\AppStateRepository;
+use App\Security\Csrf;
+use App\Tests\Support\{InMemoryDeviceRepository, InMemoryEventRepository,
+ InMemorySnapshotRepository, InMemoryAuditRepository};
+use PHPUnit\Framework\TestCase;
+
+/**
+ * 감시자의 생존, 그리고 증거 보존 보류의 권한·기록.
+ *
+ * 죽은 노드는 스스로 신고할 수 없어서 크론이 하트비트의 부재로 판정한다. 그런데 그 크론이
+ * 멈추면 아무도 판정하지 않는다 — 통보·5분 미확인 확대·장치 이상 발행이 전부 그 한
+ * 프로세스에 걸려 있어서, 멈춘 순간부터 화면은 조용해지고 그 침묵은 "사고 없음"과 똑같이
+ * 보인다. 그래서 크론이 자기 실행 시각을 남기고, 크론이 아닌 쪽(대시보드)이 그 나이를 읽는다.
+ */
+final class DispatcherLivenessTest extends TestCase
+{
+ private function state(?int $lastRun): AppStateRepository
+ {
+ return new class($lastRun) implements AppStateRepository {
+ public function __construct(private ?int $lastRun) {}
+ public function get(string $key): ?array
+ {
+ if ($key !== 'dispatch_alerts.last_run' || $this->lastRun === null) return null;
+ return ['value' => (string)$this->lastRun, 'updated_at' => $this->lastRun];
+ }
+ public function set(string $key, string $value, int $now): void {}
+ };
+ }
+
+ private function dispatcherBlock(?AppStateRepository $state): array
+ {
+ $sess = new ArraySessionStore();
+ $sess->set('user_id', 1);
+ $sess->set('site_scope', null);
+ $ctl = new DeviceStatusController(new InMemoryDeviceRepository(), $sess, null, null, $state);
+ $res = $ctl->json(new Request('GET', '/api/devices', [], '', []), 10_000);
+ return json_decode($res->body(), true)['dispatcher'];
+ }
+
+ public function test_a_recent_run_reads_as_alive(): void
+ {
+ $d = $this->dispatcherBlock($this->state(10_000 - 30));
+ $this->assertFalse($d['stale']);
+ $this->assertSame(30, $d['seconds_since']);
+ }
+
+ public function test_a_stopped_cron_is_visible(): void
+ {
+ // 크론이 5분 넘게 안 돌았다 = 통보가 통째로 멈춘 상태. 화면이 조용한 것이
+ // "사고 없음"이라는 뜻이 아니게 되는 지점이고, 그걸 사람이 알아야 한다.
+ $d = $this->dispatcherBlock($this->state(10_000 - 600));
+ $this->assertTrue($d['stale']);
+ $this->assertSame(600, $d['seconds_since']);
+ }
+
+ public function test_never_run_is_distinguishable_from_stopped(): void
+ {
+ // 조치가 다르다 — 전자는 크론을 등록하는 것이고 후자는 왜 멈췄는지 보는 것이다.
+ $d = $this->dispatcherBlock($this->state(null));
+ $this->assertTrue($d['stale']);
+ $this->assertNull($d['last_run_at']);
+ $this->assertNull($d['seconds_since']);
+ }
+
+ public function test_a_missing_state_table_does_not_break_the_status_panel(): void
+ {
+ // 마이그레이션 전 배포에서 상태 패널 전체가 죽으면, 이 기능을 넣은 대가로 기존
+ // 장치 감시를 잃는다. 그 경우 "한 번도 안 돌았다"로 보이고, 그게 실제로 맞다.
+ $throwing = new class implements AppStateRepository {
+ public function get(string $key): ?array { throw new \RuntimeException('no such table'); }
+ public function set(string $key, string $value, int $now): void {}
+ };
+ $d = $this->dispatcherBlock($throwing);
+ $this->assertTrue($d['stale']);
+ $this->assertNull($d['last_run_at']);
+ }
+
+ public function test_the_panel_still_works_without_the_repository(): void
+ {
+ $d = $this->dispatcherBlock(null);
+ $this->assertTrue($d['stale']);
+ }
+
+ // --- 증거 보존 보류 --------------------------------------------------------------
+
+ /** @return array{0:EventDetailController,1:InMemoryEventRepository,2:InMemoryAuditRepository,3:ArraySessionStore,4:int} */
+ private function detail(string $role): array
+ {
+ $events = new InMemoryEventRepository();
+ $id = $events->insert(['device_id' => 'pi-01', 'camera_id' => 'cam-01',
+ 'event_type' => 'fall', 'severity' => 'high', 'occurred_at' => 1000.0, 'site' => null]);
+ $audit = new InMemoryAuditRepository();
+ $sess = new ArraySessionStore();
+ $sess->set('user_id', 1); $sess->set('username', '관리자');
+ $sess->set('role', $role); $sess->set('site_scope', null);
+ $sess->set('csrf', 'tok');
+ return [new EventDetailController($events, new InMemorySnapshotRepository(), $audit, $sess),
+ $events, $audit, $sess, $id];
+ }
+
+ private function holdReq(mixed $days): Request
+ {
+ return new Request('POST', '/events/1/hold', ['X-Csrf-Token' => 'tok'],
+ json_encode(['days' => $days]), []);
+ }
+
+ public function test_an_admin_can_hold_evidence_and_it_is_recorded(): void
+ {
+ [$ctl, $events, $audit, , $id] = $this->detail('admin');
+
+ $res = $ctl->hold($this->holdReq(90), ['id' => $id]);
+
+ $this->assertSame(200, $res->status());
+ $this->assertNotNull($events->rows[$id]['hold_until']);
+ $this->assertSame('evidence_hold', $audit->log[0]['act'],
+ '보존기간 연장이 기록되지 않으면, 노조에 "사고 건만 기록과 함께 남긴다"고 말할 근거가 없습니다.');
+ }
+
+ public function test_releasing_a_hold_is_recorded_separately(): void
+ {
+ [$ctl, $events, $audit, , $id] = $this->detail('admin');
+ $ctl->hold($this->holdReq(90), ['id' => $id]);
+ $res = $ctl->hold($this->holdReq(0), ['id' => $id]);
+
+ $this->assertSame(200, $res->status());
+ $this->assertNull($events->rows[$id]['hold_until']);
+ $this->assertSame('evidence_hold_release', $audit->log[1]['act']);
+ }
+
+ public function test_an_operator_cannot_extend_retention(): void
+ {
+ // 보존기간 연장은 운영 편의가 아니라 규정 판단이다.
+ [$ctl, $events, $audit, , $id] = $this->detail('operator');
+
+ $this->assertSame(403, $ctl->hold($this->holdReq(90), ['id' => $id])->status());
+ $this->assertNull($events->rows[$id]['hold_until'] ?? null);
+ $this->assertSame([], $audit->log);
+ }
+
+ public function test_an_unbounded_hold_is_refused(): void
+ {
+ // 무기한 보류는 프라이버시 약속의 예외가 아니라 폐기다.
+ [$ctl, $events, , , $id] = $this->detail('admin');
+
+ foreach ([400, -1, 'forever', null] as $bad) {
+ $this->assertSame(400, $ctl->hold($this->holdReq($bad), ['id' => $id])->status(),
+ 'days=' . var_export($bad, true) . ' 를 통과시켰습니다');
+ }
+ $this->assertNull($events->rows[$id]['hold_until'] ?? null);
+ }
+
+ public function test_a_hold_without_csrf_is_refused(): void
+ {
+ [$ctl, , $audit, , $id] = $this->detail('admin');
+ $req = new Request('POST', '/events/1/hold', [], json_encode(['days' => 90]), []);
+
+ $this->assertSame(403, $ctl->hold($req, ['id' => $id])->status());
+ $this->assertSame([], $audit->log);
+ }
+}
diff --git a/server/tests/EvidenceHoldTest.php b/server/tests/EvidenceHoldTest.php
new file mode 100644
index 0000000..8ca99e0
--- /dev/null
+++ b/server/tests/EvidenceHoldTest.php
@@ -0,0 +1,184 @@
+<?php
+declare(strict_types=1);
+namespace App\Tests;
+
+use App\Repository\Pdo\{PdoEventRepository, PdoSnapshotRepository, PdoAppStateRepository};
+use PDO;
+use PHPUnit\Framework\TestCase;
+
+/**
+ * 증거 보존 보류 — 보존기간 정리가 조사 중인 사건의 사진을 지우지 않는다.
+ *
+ * 이 결함은 조용했다. 스냅샷 삭제는 나이 하나만 봤고, 기본 보존은 7일이다. 중대재해 조사는
+ * 몇 주에서 몇 달이라, 우리가 고객과 노조에 말해 온 목적("사고 후 원인 분석")이 8일째에
+ * 스스로 증발했다. 아무 오류도 나지 않고, 로그도 남지 않고, 그때가 되어서야 없는 걸 안다.
+ *
+ * 납품되는 실제 SQL(LEFT JOIN + hold 조건)이 도는 곳이 여기다 — 다른 테스트의 인메모리
+ * 대역은 쿼리 의미를 PHP 로 다시 구현하므로 쿼리가 틀려도 통과한다.
+ */
+final class EvidenceHoldTest extends TestCase
+{
+ private PDO $pdo;
+ private string $dir;
+
+ protected function setUp(): void
+ {
+ if (!in_array('sqlite', PDO::getAvailableDrivers(), true)) {
+ $this->markTestSkipped('pdo_sqlite not available on this host');
+ }
+ $this->pdo = new PDO('sqlite::memory:', null, null, [
+ PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
+ PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
+ ]);
+ $this->pdo->exec(<<<'SQL'
+ CREATE TABLE move_events (
+ event_id INTEGER PRIMARY KEY AUTOINCREMENT,
+ device_id TEXT NOT NULL,
+ camera_id TEXT NOT NULL,
+ event_type TEXT NOT NULL,
+ severity TEXT NOT NULL,
+ occurred_at REAL NOT NULL,
+ duration_s REAL NOT NULL DEFAULT 0,
+ hold_until INTEGER,
+ received_at INTEGER NOT NULL
+ );
+ CREATE TABLE move_event_snapshots (
+ snapshot_id INTEGER PRIMARY KEY AUTOINCREMENT,
+ event_id INTEGER NOT NULL,
+ file_uuid TEXT NOT NULL UNIQUE,
+ content_hash TEXT NOT NULL,
+ created_at INTEGER NOT NULL
+ );
+ CREATE TABLE move_app_state (
+ k TEXT PRIMARY KEY,
+ v TEXT NOT NULL,
+ updated_at INTEGER NOT NULL
+ );
+ SQL);
+ $this->dir = sys_get_temp_dir() . '/move-hold-' . bin2hex(random_bytes(6));
+ mkdir($this->dir);
+ }
+
+ protected function tearDown(): void
+ {
+ if (!isset($this->dir) || !is_dir($this->dir)) return;
+ foreach (glob($this->dir . '/*') ?: [] as $f) @unlink($f);
+ @rmdir($this->dir);
+ }
+
+ /** 한 사건 + 그 사건의 스냅샷 1장. 반환값은 [event_id, file_uuid]. */
+ private function seed(int $createdAt, ?int $holdUntil = null): array
+ {
+ $st = $this->pdo->prepare(
+ 'INSERT INTO move_events (device_id, camera_id, event_type, severity, occurred_at,
+ hold_until, received_at)
+ VALUES (?, ?, ?, ?, ?, ?, ?)');
+ $st->execute(['pi-01', 'cam-01', 'fall', 'high', (float)$createdAt, $holdUntil, $createdAt]);
+ $eventId = (int)$this->pdo->lastInsertId();
+
+ $uuid = bin2hex(random_bytes(16));
+ file_put_contents($this->dir . '/' . $uuid . '.jpg', 'jpeg-bytes');
+ $this->pdo->prepare(
+ 'INSERT INTO move_event_snapshots (event_id, file_uuid, content_hash, created_at)
+ VALUES (?, ?, ?, ?)')->execute([$eventId, $uuid, str_repeat('a', 64), $createdAt]);
+ return [$eventId, $uuid];
+ }
+
+ private function snaps(): PdoSnapshotRepository
+ {
+ return new PdoSnapshotRepository($this->pdo, $this->dir);
+ }
+
+ public function test_an_old_snapshot_is_purged_when_nothing_holds_it(): void
+ {
+ [, $uuid] = $this->seed(1_000);
+ $purged = $this->snaps()->purgeOlderThan(2_000, 500, 3_000);
+
+ $this->assertSame(1, $purged);
+ $this->assertFileDoesNotExist($this->dir . '/' . $uuid . '.jpg');
+ }
+
+ public function test_a_held_snapshot_survives_its_retention_window(): void
+ {
+ [, $uuid] = $this->seed(1_000, holdUntil: 9_000);
+ $purged = $this->snaps()->purgeOlderThan(2_000, 500, 3_000);
+
+ $this->assertSame(0, $purged, '조사 중인 사건의 사진이 보존기간 때문에 지워졌습니다.');
+ $this->assertFileExists($this->dir . '/' . $uuid . '.jpg');
+ }
+
+ public function test_the_hold_stops_protecting_once_it_expires(): void
+ {
+ // 무기한 보류는 프라이버시 약속의 예외가 아니라 폐기다. 기간이 지나면 다시 대상이 된다.
+ [, $uuid] = $this->seed(1_000, holdUntil: 2_500);
+ $purged = $this->snaps()->purgeOlderThan(2_000, 500, 3_000);
+
+ $this->assertSame(1, $purged);
+ $this->assertFileDoesNotExist($this->dir . '/' . $uuid . '.jpg');
+ }
+
+ public function test_one_hold_does_not_shield_other_events(): void
+ {
+ // JOIN 조건이 틀리면(예: 보류 행이 하나라도 있으면 전부 남김) 프라이버시 기본값이
+ // 조용히 "영구 보존"으로 뒤집힌다. 한 건만 남고 나머지는 지워져야 한다.
+ [, $held] = $this->seed(1_000, holdUntil: 9_000);
+ [, $a] = $this->seed(1_000);
+ [, $b] = $this->seed(1_000);
+
+ $purged = $this->snaps()->purgeOlderThan(2_000, 500, 3_000);
+
+ $this->assertSame(2, $purged);
+ $this->assertFileExists($this->dir . '/' . $held . '.jpg');
+ $this->assertFileDoesNotExist($this->dir . '/' . $a . '.jpg');
+ $this->assertFileDoesNotExist($this->dir . '/' . $b . '.jpg');
+ }
+
+ public function test_an_orphan_snapshot_is_still_purged(): void
+ {
+ // 이벤트 행이 먼저 정리된 스냅샷은 보류가 아니라 잔여물이다. LEFT JOIN 이 NULL 을
+ // 내므로 대상이 되어야 한다 — INNER JOIN 으로 쓰면 이게 영원히 안 지워지고,
+ // 작업자 사진이 보존기간을 넘겨 디스크에 남는 PIPA 누출이 된다.
+ $uuid = bin2hex(random_bytes(16));
+ file_put_contents($this->dir . '/' . $uuid . '.jpg', 'jpeg-bytes');
+ $this->pdo->prepare(
+ 'INSERT INTO move_event_snapshots (event_id, file_uuid, content_hash, created_at)
+ VALUES (?, ?, ?, ?)')->execute([9999, $uuid, str_repeat('b', 64), 1_000]);
+
+ $this->assertSame(1, $this->snaps()->purgeOlderThan(2_000, 500, 3_000));
+ $this->assertFileDoesNotExist($this->dir . '/' . $uuid . '.jpg');
+ }
+
+ public function test_setting_and_clearing_a_hold_round_trips(): void
+ {
+ [$id] = $this->seed(1_000);
+ $events = new PdoEventRepository($this->pdo);
+
+ $this->assertTrue($events->setHold($id, 9_000));
+ $this->assertSame(0, $this->snaps()->purgeOlderThan(2_000, 500, 3_000));
+
+ $this->assertTrue($events->setHold($id, null));
+ $this->assertSame(1, $this->snaps()->purgeOlderThan(2_000, 500, 3_000));
+ }
+
+ public function test_holding_a_missing_event_reports_failure(): void
+ {
+ $this->assertFalse((new PdoEventRepository($this->pdo))->setHold(4242, 9_000));
+ }
+
+ public function test_app_state_upsert_round_trips(): void
+ {
+ $state = new PdoAppStateRepository($this->pdo);
+ $this->assertNull($state->get('dispatch_alerts.last_run'));
+
+ $state->set('dispatch_alerts.last_run', '1000', 1000);
+ $this->assertSame(['value' => '1000', 'updated_at' => 1000],
+ $state->get('dispatch_alerts.last_run'));
+
+ // 덮어쓰기여야 한다. 행이 쌓이면 대시보드가 첫 행(옛날 시각)을 읽고 크론이 죽었다고
+ // 오판하거나, 그 반대로 영원히 살아있다고 본다.
+ $state->set('dispatch_alerts.last_run', '2000', 2000);
+ $this->assertSame(['value' => '2000', 'updated_at' => 2000],
+ $state->get('dispatch_alerts.last_run'));
+ $this->assertSame(1, (int)$this->pdo->query('SELECT COUNT(*) FROM move_app_state')->fetchColumn());
+ }
+}
diff --git a/server/tests/PdoIntegrationTest.php b/server/tests/PdoIntegrationTest.php
index a0aa3dd..25d8da4 100644
--- a/server/tests/PdoIntegrationTest.php
+++ b/server/tests/PdoIntegrationTest.php
@@ -460,9 +460,16 @@ final class PdoIntegrationTest extends TestCase
acknowledged_at INTEGER,
false_positive_by TEXT,
false_positive_at INTEGER,
+ hold_until INTEGER,
received_at INTEGER NOT NULL
);
+ CREATE TABLE move_app_state (
+ k TEXT PRIMARY KEY,
+ v TEXT NOT NULL,
+ updated_at INTEGER NOT NULL
+ );
+
CREATE TABLE move_zones (
zone_id TEXT PRIMARY KEY,
device_id TEXT NOT NULL,
diff --git a/server/tests/ReadAuditTest.php b/server/tests/ReadAuditTest.php
new file mode 100644
index 0000000..4af35f8
--- /dev/null
+++ b/server/tests/ReadAuditTest.php
@@ -0,0 +1,184 @@
+<?php
+declare(strict_types=1);
+namespace App\Tests;
+
+use App\Auth\ArraySessionStore;
+use App\Tests\Support\{InMemoryEventRepository, InMemorySnapshotRepository, InMemoryAuditRepository};
+use App\Dashboard\{SnapshotProxy, ExportController};
+use App\Http\Request;
+use PHPUnit\Framework\TestCase;
+
+/**
+ * 읽기도 감사에 남는다.
+ *
+ * 이 시스템은 쓰기를 전부 남긴다 — 임계값 한 번 바꾼 것까지 해시 체인에 들어간다. 그런데
+ * 작업자 사진을 열어보는 것과 사건 전체를 파일로 내보내는 것은 하나도 남지 않았다. 감시
+ * 시스템과 안전 시스템을 가르는 선이 정확히 거기라서, 나머지 프라이버시 설계(RAM 링버퍼·전송
+ * 전 얼굴 블러·라이브뷰 부재)가 전부 검증 불가능한 주장에 머물러 있었다.
+ *
+ * "안 봤습니다"는 증명이 아니다. 교섭 테이블에서 답이 되는 것은 기록뿐이고, 이 테스트가
+ * 지키는 것이 그 기록이다.
+ */
+final class ReadAuditTest extends TestCase
+{
+ private string $dir;
+
+ protected function setUp(): void
+ {
+ $this->dir = sys_get_temp_dir() . '/move-readaudit-' . bin2hex(random_bytes(6));
+ mkdir($this->dir);
+ }
+
+ protected function tearDown(): void
+ {
+ foreach (glob($this->dir . '/*') ?: [] as $f) @unlink($f);
+ @rmdir($this->dir);
+ }
+
+ /** @return array{0:SnapshotProxy,1:InMemoryAuditRepository,2:ArraySessionStore,3:string} */
+ private function proxy(?string $siteScope = null): array
+ {
+ $events = new InMemoryEventRepository();
+ $eventId = $events->insert([
+ 'device_id' => 'pi-01', 'camera_id' => 'cam-01', 'event_type' => 'fall',
+ 'severity' => 'high', 'occurred_at' => 1000.0, 'site' => 'A동',
+ ]);
+
+ $uuid = bin2hex(random_bytes(16));
+ file_put_contents($this->dir . '/' . $uuid . '.jpg', 'jpeg-bytes');
+ $snaps = new InMemorySnapshotRepository($this->dir);
+ $snaps->add($eventId, $uuid, str_repeat('a', 64));
+
+ $audit = new InMemoryAuditRepository();
+ $sess = new ArraySessionStore();
+ $sess->set('user_id', 7);
+ $sess->set('username', '관리자');
+ $sess->set('role', 'admin');
+ $sess->set('site_scope', $siteScope);
+
+ return [new SnapshotProxy($snaps, $events, $sess, $audit), $audit, $sess, $uuid];
+ }
+
+ private function req(): Request
+ {
+ return new Request('GET', '/snap', [], '', []);
+ }
+
+ public function test_viewing_a_worker_image_is_recorded(): void
+ {
+ [$proxy, $audit, , $uuid] = $this->proxy();
+
+ $res = $proxy->serve($this->req(), ['uuid' => $uuid]);
+
+ $this->assertSame(200, $res->status());
+ $this->assertCount(1, $audit->log, '사진을 열었는데 감사에 아무것도 남지 않았습니다.');
+ $this->assertSame('snapshot_view', $audit->log[0]['act']);
+ $this->assertSame("snapshot:$uuid", $audit->log[0]['t']);
+ $this->assertSame('관리자', $audit->log[0]['a']);
+ }
+
+ public function test_the_same_image_in_one_session_is_recorded_once(): void
+ {
+ // 목록 화면은 5초마다 <img> 를 다시 그린다. 감사 추가는 해시 체인 꼬리에 행 잠금을
+ // 잡는 작업이라, 장당 한 행씩 쓰면 공유호스팅에서 직렬화된다. "이 로그인 세션에서
+ // 이 사진을 봤다"가 노조가 묻는 질문에 답하기 충분하다.
+ [$proxy, $audit, , $uuid] = $this->proxy();
+
+ for ($i = 0; $i < 5; $i++) $proxy->serve($this->req(), ['uuid' => $uuid]);
+
+ $this->assertCount(1, $audit->log);
+ }
+
+ public function test_a_different_image_is_recorded_separately(): void
+ {
+ [$proxy, $audit, , $uuid] = $this->proxy();
+ $proxy->serve($this->req(), ['uuid' => $uuid]);
+
+ // 없는 uuid 는 404 라 기록도 없다 — 기록은 "본 것"이지 "요청한 것"이 아니다.
+ $missing = $proxy->serve($this->req(), ['uuid' => bin2hex(random_bytes(16))]);
+ $this->assertSame(404, $missing->status());
+ $this->assertCount(1, $audit->log);
+ }
+
+ public function test_an_unauthenticated_request_records_nothing(): void
+ {
+ [$proxy, $audit, $sess, $uuid] = $this->proxy();
+ $sess->set('user_id', null);
+
+ $this->assertSame(401, $proxy->serve($this->req(), ['uuid' => $uuid])->status());
+ $this->assertSame([], $audit->log);
+ }
+
+ public function test_a_blocked_cross_site_read_records_nothing(): void
+ {
+ // 거부된 열람은 열람이 아니다. 여기서 기록하면 감사 로그가 "본 사람" 목록이 아니라
+ // "요청한 사람" 목록이 되어, 정작 누가 봤는지를 묻는 데 쓸 수 없게 된다.
+ [$proxy, $audit, , $uuid] = $this->proxy(siteScope: 'B동');
+
+ $this->assertSame(404, $proxy->serve($this->req(), ['uuid' => $uuid])->status());
+ $this->assertSame([], $audit->log);
+ }
+
+ public function test_a_failing_audit_does_not_block_the_image(): void
+ {
+ // 감사가 안전 기능을 죽이면 안 된다 — 사고 조사 중에 DB 가 흔들린다고 사진이 안 열리면
+ // 그건 프라이버시 보호가 아니라 장애다. 대신 세션 메모에 넣지 않아 다음에 재시도한다.
+ $events = new InMemoryEventRepository();
+ $eventId = $events->insert(['device_id' => 'pi-01', 'camera_id' => 'cam-01',
+ 'event_type' => 'fall', 'severity' => 'high', 'occurred_at' => 1000.0, 'site' => null]);
+ $uuid = bin2hex(random_bytes(16));
+ file_put_contents($this->dir . '/' . $uuid . '.jpg', 'jpeg-bytes');
+ $snaps = new InMemorySnapshotRepository($this->dir);
+ $snaps->add($eventId, $uuid, str_repeat('a', 64));
+
+ $audit = new class implements \App\Repository\AuditRepository {
+ public int $calls = 0;
+ public function append(string $a, string $act, string $t, array $b, array $af): void
+ { $this->calls++; throw new \RuntimeException('db down'); }
+ };
+ $sess = new ArraySessionStore();
+ $sess->set('user_id', 7); $sess->set('username', '관리자'); $sess->set('site_scope', null);
+
+ $proxy = new SnapshotProxy($snaps, $events, $sess, $audit);
+ $this->assertSame(200, $proxy->serve($this->req(), ['uuid' => $uuid])->status());
+ $proxy->serve($this->req(), ['uuid' => $uuid]);
+ $this->assertSame(2, $audit->calls, '기록 실패 후 재시도하지 않았습니다 — 조용히 누락됩니다.');
+ }
+
+ public function test_a_bulk_export_is_recorded_with_its_size(): void
+ {
+ $events = new InMemoryEventRepository();
+ for ($i = 0; $i < 3; $i++) {
+ $events->insert(['device_id' => 'pi-01', 'camera_id' => 'cam-01', 'event_type' => 'fall',
+ 'severity' => 'high', 'occurred_at' => (float)(time() - 100), 'site' => null]);
+ }
+ $audit = new InMemoryAuditRepository();
+ $sess = new ArraySessionStore();
+ $sess->set('user_id', 7); $sess->set('username', '관리자');
+ $sess->set('role', 'admin'); $sess->set('site_scope', null);
+
+ $export = new ExportController($events, new InMemorySnapshotRepository($this->dir), $sess, $audit);
+ $res = $export->labels(new Request('GET', '/api/export/labels', [], '', ['days' => '30']));
+
+ $this->assertSame(200, $res->status());
+ $this->assertCount(1, $audit->log, '최대 2만 건이 파일 하나로 나가는데 기록이 없습니다.');
+ $this->assertSame('label_export', $audit->log[0]['act']);
+ $this->assertSame(30, $audit->log[0]['af']['days']);
+ $this->assertSame(3, $audit->log[0]['af']['rows']);
+ }
+
+ public function test_a_forbidden_export_is_not_recorded_as_one(): void
+ {
+ $sess = new ArraySessionStore();
+ $sess->set('user_id', 7); $sess->set('username', '작업자');
+ $sess->set('role', 'viewer'); $sess->set('site_scope', null);
+ $audit = new InMemoryAuditRepository();
+
+ $export = new ExportController(new InMemoryEventRepository(),
+ new InMemorySnapshotRepository($this->dir), $sess, $audit);
+ $res = $export->labels(new Request('GET', '/api/export/labels', [], '', []));
+
+ $this->assertSame(403, $res->status());
+ $this->assertSame([], $audit->log);
+ }
+}
diff --git a/server/tests/RouteTableTest.php b/server/tests/RouteTableTest.php
index 42ba3d1..96a02cf 100644
--- a/server/tests/RouteTableTest.php
+++ b/server/tests/RouteTableTest.php
@@ -34,6 +34,7 @@ final class RouteTableTest extends TestCase
'POST /api/events', 'POST /api/heartbeat', 'GET /api/config', 'GET /api/csrf',
'POST /login', 'POST /logout', 'GET /api/events', 'GET /api/devices',
'GET /events/{id}', 'POST /events/{id}/ack', 'POST /events/{id}/false-positive',
+ 'POST /events/{id}/hold',
'GET /api/zones/{camera}', 'GET /api/zone-presets',
'GET /api/heatmap/{camera}', 'GET /api/fp-stats',
'GET /api/report', 'GET /api/export/labels', 'GET /api/actions', 'POST /api/actions',
diff --git a/server/tests/Support/InMemoryRepositories.php b/server/tests/Support/InMemoryRepositories.php
index 329ee9d..ffaf9f7 100644
--- a/server/tests/Support/InMemoryRepositories.php
+++ b/server/tests/Support/InMemoryRepositories.php
@@ -67,6 +67,11 @@ final class InMemoryEventRepository implements EventRepository {
}
public function find(int $id): ?array { return $this->rows[$id] ?? null; }
public function acknowledge(int $id, string $u): bool { if (!isset($this->rows[$id])) return false; $this->rows[$id]['acknowledged_by'] = $u; $this->rows[$id]['acknowledged_at'] = $this->rows[$id]['acknowledged_at'] ?? time(); return true; }
+ public function setHold(int $id, ?int $until): bool {
+ if (!isset($this->rows[$id])) return false;
+ $this->rows[$id]['hold_until'] = $until;
+ return true;
+ }
public function markFalsePositive(int $id, string $user): bool {
if (!isset($this->rows[$id])) return false;
$r = $this->rows[$id];
@@ -210,11 +215,14 @@ final class InMemoryEventRepository implements EventRepository {
}
final class InMemorySnapshotRepository implements SnapshotRepository {
public array $rows = []; public array $paths = []; public array $created = [];
+ /** 실제 파일이 있어야 하는 테스트(SnapshotProxy 는 is_file() 을 본다)가 쓸 디렉터리.
+ * 기본값은 예전 그대로 /tmp — 경로 문자열만 쓰던 기존 테스트가 그대로 돈다. */
+ public function __construct(private string $dir = '/tmp') {}
public function add(int $e, string $uuid, string $hash): void {
// Mirror the DB's UNIQUE (event_id, content_hash): a re-sent event's identical bytes
// collide instead of duplicating, so the dedup recovery path is idempotent.
foreach ($this->rows[$e] ?? [] as $r) { if ($r['content_hash'] === $hash) return; }
- $this->rows[$e][] = ['file_uuid' => $uuid, 'content_hash' => $hash]; $this->paths[$uuid] = "/tmp/$uuid.jpg"; $this->created[$uuid] = time();
+ $this->rows[$e][] = ['file_uuid' => $uuid, 'content_hash' => $hash]; $this->paths[$uuid] = rtrim($this->dir, '/\\') . "/$uuid.jpg"; $this->created[$uuid] = time();
}
public function forEvent(int $e): array { return $this->rows[$e] ?? []; }
public function thumbUuidsFor(array $eventIds): array {
diff --git a/server/tools/dispatch_alerts.php b/server/tools/dispatch_alerts.php
index 04d54c9..b62ec6f 100644
--- a/server/tools/dispatch_alerts.php
+++ b/server/tools/dispatch_alerts.php
@@ -32,7 +32,7 @@ require __DIR__ . '/bootstrap.php';
use App\Alert\{AlertDispatcher, Channels, DeviceHealthWatch, EscalationWatch, MultiDownWatch};
use App\Repository\Pdo\{PdoEventRepository, PdoAlertRepository, PdoSuppressionRepository,
- PdoDeviceRepository, PdoDeviceMetricRepository};
+ PdoDeviceRepository, PdoDeviceMetricRepository, PdoAppStateRepository};
[$cfg, $pdo] = tool_boot();
$args = tool_args($argv);
@@ -179,6 +179,24 @@ if (!$dryRun) {
}
}
+// --- 5. 생존 기록 ---------------------------------------------------------------------
+// 여기까지 왔다는 것은 이 프로세스가 돌았다는 뜻이다. 통보·확대·장치 이상 발행이 전부 이 한
+// 프로세스에 걸려 있어서, 크론이 멈추면 화면은 그냥 조용해지고 그 침묵은 "사고 없음"과
+// 구별되지 않는다. 죽은 노드를 하트비트의 부재로 판정하는 바로 그 논리를 우리 자신에게도
+// 적용한다 — 감시자의 생존은 감시자가 아닌 쪽(대시보드)이 읽는다.
+//
+// 단계별 예외 처리 밖에, 마지막에 무조건 남긴다: 어느 단계가 실패했더라도 프로세스는 살아
+// 있었고, 여기서 구별하려는 것은 "통보가 틀렸다"가 아니라 "아무도 안 돌고 있다"이다.
+// dry-run 은 남기지 않는다 — 사람이 손으로 확인해 본 것을 크론이 도는 증거로 삼으면,
+// 크론이 죽은 뒤에도 화면이 초록으로 남는다.
+if (!$dryRun) {
+ try {
+ (new PdoAppStateRepository($pdo))->set('dispatch_alerts.last_run', (string)$now, $now);
+ } catch (Throwable $e) {
+ fwrite(STDERR, date('c') . ' 생존 기록 실패(통보에는 영향 없음): ' . $e->getMessage() . PHP_EOL);
+ }
+}
+
fwrite(STDOUT, sprintf(
"%s considered=%d sent=%d suppressed=%d failed=%d skipped=%d retried=%d escalated=%d health=%d multi=%d%s\n",
date('c'), $stats['considered'], $stats['sent'], $stats['suppressed'],
diff --git a/tests/test_app.py b/tests/test_app.py
index 6e255be..b8ab8dd 100644
--- a/tests/test_app.py
+++ b/tests/test_app.py
@@ -246,3 +246,54 @@ def test_two_persons_get_independent_smoothing():
# state leaked between tracks.
assert left_nose_x < 300
assert right_nose_x > 700
+
+
+def test_overstay_goes_out_without_evidence_while_the_same_batch_keeps_it():
+ """체류 상한 초과에는 사진이 붙지 않는다 — 같은 배치의 구역 침입에는 붙는 채로.
+
+ 상수만 검사하면 배선이 끊겨도 초록이 뜬다(이 프로젝트가 감사마다 잡아온 모양이다).
+ 그래서 실제 run_once 를 태워, 한 번의 전송에서 한쪽은 증거를 들고 다른 쪽은 안 드는지를
+ 본다. 체류 초과의 발화 조건은 시간 경과 하나뿐이라, 여기 사진이 붙으면 정상 작업자가
+ 규정대로 일하는 동안 주기적으로 본인 사진이 서버로 가는 시스템이 된다.
+ """
+ from edge.detectors.zone import Zone
+ from edge.detectors.occupancy import OccupancyWatchdog, OccupancyConfig
+
+ class _SnapSink:
+ def __init__(self): self.sent = []
+ def try_send(self, event, snapshots):
+ self.sent.append((event, snapshots)); return True
+
+ poly = [(0.0, 0.0), (1.0, 0.0), (1.0, 1.0), (0.0, 1.0)] # 프레임 전체
+ zone = Zone("z1", "restricted", poly, {"max_dwell_s": 1.0})
+
+ src = _Source()
+ pose = _ScriptedPose([[_person_at(320)], [_person_at(320)]])
+ engine = EventEngine(
+ FallDetector(FallConfig(prone_confirm_s=999)),
+ ImmobilityWatchdog(ImmobilityConfig(immobile_s=999)),
+ GhostIncidentDetector(GhostConfig()),
+ ZoneIntrusionDetector([zone], ZoneConfig()),
+ EngineConfig(camera_id="cam-01"),
+ # 기본 설정 그대로. 바꾸는 것은 존 규칙(현장 설정)인 max_dwell_s 뿐이다.
+ occupancy=OccupancyWatchdog(OccupancyConfig()))
+ ring = RingBuffer(); snap = Snapshotter(FaceBlurrer()); sink = _SnapSink()
+
+ # 트래커·스무더는 프레임 간에 공유한다 — 체류는 "같은 트랙이 계속 있었는가"라서,
+ # 매 호출 새 트래커를 주면 실제와 다른 조건에서 통과할 수 있다.
+ tracker, pool = IouTracker(), TrackSmootherPool()
+ times = iter([0.0, 1.5])
+ def now_fn(): return next(times)
+ run_once(src, pose, tracker, pool, engine, ring, snap, sink, now_fn)
+ run_once(src, pose, tracker, pool, engine, ring, snap, sink, now_fn)
+
+ by_type = {e.event_type: s for e, s in sink.sent}
+ assert EventType.OVERSTAY in by_type, "체류 상한 초과가 발화하지 않았습니다 — 테스트가 무의미합니다"
+ assert by_type[EventType.OVERSTAY] == [], \
+ "체류 상한 초과에 사진이 붙었습니다. 오래 있었다는 이유로 작업자 사진이 남습니다."
+
+ # 대조군: 같은 파이프라인에서 진짜 사건에는 증거가 붙어 있어야 한다. 이게 없으면
+ # 위 단언은 "증거 기능이 통째로 죽었다"로도 통과한다.
+ assert EventType.ZONE_RESTRICTED in by_type, "구역 침입이 발화하지 않았습니다"
+ assert by_type[EventType.ZONE_RESTRICTED], \
+ "구역 침입에서 증거가 사라졌습니다 — 사고 조사에서 볼 것이 없어집니다."
diff --git a/tests/test_evidence_policy.py b/tests/test_evidence_policy.py
new file mode 100644
index 0000000..2935d1f
--- /dev/null
+++ b/tests/test_evidence_policy.py
@@ -0,0 +1,55 @@
+"""사진이 붙는 이벤트와 붙지 않는 이벤트.
+
+이 경계는 성능이나 용량 문제가 아니라 우리가 작업자에게 한 약속이다 — "정상 근무 중에는
+아무것도 남지 않는다". 발화 조건이 시간 경과 하나뿐인 유형(체류 상한 초과)에 사진을 붙이면
+그 약속이 거짓이 되고, 시스템은 30분 넘게 그 구역에 있었다는 이유만으로 그 사람의 사진 3장을
+서버에 남긴다. 위험해서가 아니라 오래 있어서.
+
+반대 방향도 같은 무게로 잠근다: 넘어짐에서 사진이 빠지면 사고 조사에 쓸 것이 없다.
+"""
+import pytest
+
+from edge.app import NO_EVIDENCE_TYPES
+from edge.events import EventType
+
+
+# 사진이 사건의 증거인 유형 — 무슨 일이 일어났는지가 프레임 안에 있거나(넘어짐·협착),
+# 규칙 위반 자체가 인원 수라서 프레임이 그것을 증명한다(단독작업·정원 초과).
+EVIDENTIAL = [
+ EventType.FALL, EventType.FALL_FROM_HEIGHT, EventType.NO_MOTION, EventType.IMMOBILITY,
+ EventType.GHOST, EventType.NEAR_FALL, EventType.PINCH,
+ EventType.ZONE_WARNING, EventType.ZONE_RESTRICTED,
+ EventType.LONE_WORKER, EventType.OVERCAPACITY,
+]
+
+
+@pytest.mark.parametrize("etype", EVIDENTIAL, ids=lambda e: e.value)
+def test_incident_types_carry_evidence(etype):
+ assert etype not in NO_EVIDENCE_TYPES, (
+ f"{etype.value} 에서 증거 프레임이 빠졌습니다. 사고 조사에서 볼 것이 사라집니다.")
+
+
+@pytest.mark.parametrize("etype", sorted(NO_EVIDENCE_TYPES, key=lambda e: e.value),
+ ids=lambda e: e.value)
+def test_non_incident_types_carry_no_evidence(etype):
+ # 목록에 든 것이 의도한 넷인지 고정한다. 새 유형을 여기 넣으려면 이 테스트를 고쳐야 하고,
+ # 그 순간 "왜 이 유형은 사진이 필요 없는가"를 한 번 더 답하게 된다.
+ assert etype in {
+ EventType.ERGO_REPORT, EventType.OVERSTAY,
+ EventType.DEVICE_FAULT, EventType.MONITORING_DEGRADED,
+ }
+
+
+def test_overstay_is_excluded_because_time_alone_is_not_an_incident():
+ """가장 중요한 한 줄 — 되돌리면 감시 시스템이 된다.
+
+ 체류 상한 초과는 사람이 구역에 머무른 시간만으로 발화한다. 프리셋 기본값은 밀폐공간
+ 30분·화기작업 60분이라, 사진을 붙이면 정상 작업자가 규정대로 일하는 동안 주기적으로
+ 본인 사진이 서버로 가는 시스템이 된다.
+ """
+ assert EventType.OVERSTAY in NO_EVIDENCE_TYPES
+
+
+def test_the_exclusion_list_stays_small():
+ # 이 목록이 길어지고 있다면 경계가 "증거냐 기록이냐"에서 다른 무언가로 밀린 것이다.
+ assert len(NO_EVIDENCE_TYPES) <= 6
