Revalidar o estado após uma decisão do Jev e antes de um efeito colateral

Objetivo

Evitar que uma decisão tomada sobre um estado anterior da aplicação seja aplicada às cegas depois de o registro, as permissões ou a política relevantes terem mudado.

Pré-requisitos

Defina as pré-condições da ação, a fonte da autoridade atual e uma revisão ou impressão digital (fingerprint) dos fatos fornecidos ao modelo. Mantenha as verificações de controle de acesso na aplicação que realmente executa a operação.

Passos

1. Monte um pacote de estado limitado que contenha a revisão do registro relevante e a versão da política. Registre quais fatos influenciam a decisão; uma impressão digital de campos não relacionados provoca invalidações evitáveis.

2. Avalie a pergunta específica e valide a decisão retornada. Guarde junto com ela a revisão avaliada, em vez de reter apenas um rótulo de ação, que perde o contexto temporal.

3. Exija que o serviço autoritativo verifique a revisão e as permissões relevantes de forma atômica com a mutação, usando o mecanismo de escrita condicional ou de transação que ele suporta. Rejeite a operação quando uma pré-condição obrigatória falhar; uma leitura anterior, por si só, deixa uma condição de corrida (race condition).

4. Quando o estado for diferente, reconstrua o pacote e reconsidere a decisão dentro de uma política de novas tentativas limitada. Não reinterprete uma resposta desatualizada como aprovação para um objeto recém-alterado ou para um escopo ampliado.

5. Teste a remoção de uma permissão, a atualização de uma política, a substituição de um registro e uma edição concorrente entre a avaliação e a execução. Verifique se o consumidor interrompe a operação ou reavalia, em vez de aplicar a decisão antiga.

Resultado esperado

A operação tem um vínculo claro com os fatos que a justificaram e uma verificação, no nível da aplicação, de que esses fatos continuam válidos. As decisões desatualizadas passam a ser resultados explícitos, que podem ser inspecionados e repetidos de forma deliberada.

Limites e base de verificação

Este é um protocolo de aplicação não testado. O TypeSafe define estado como o material avaliado por uma requisição; ele não bloqueia os registros do chamador. Uma nova leitura separada tem caráter apenas indicativo: outra alteração pode ocorrer antes da escrita. Preservar a invariante exige imposição atômica no serviço autoritativo. A interface ou o padrão subjacente está descrito em State; o fluxo de trabalho acima é uma adaptação proposta.