2 Commits

Author	SHA1	Message	Date
agent_coder	c917dcc3c1	fix(mcp): ограничить ELK-лейаут (кап узлов/рёбер + таймаут) — untrusted-граф DoS (ревью #440) ... applyElkLayout крутит elkjs СИНХРОННО в процессе на mxGraph-XML от LLM (layout:'elk' в drawio_create/update) без лимита размера и без таймаута — большой граф (тысячи узлов, ~1МБ XML проходит stage-1 cap 16МБ) блокирует event-loop MCP-сервера на секунды-минуты. try/catch ловил только брошенную ошибку, но не зависание. - кап ДО построения графа: >500 узлов или >1000 рёбер → вернуть исходный XML (best-effort, как существующий catch); синхронный elkjs → кап и есть реальная защита; - Promise.race с 5s-таймаутом (defense-in-depth на случай async-elkjs); таймер гасится в finally → нет утечки хендла и unhandled-rejection (проигравший timeout остаётся pending с погашенным таймером); - тест: 600-узловой граф возвращается без изменений и быстро (<2s) — кап-путь. 79/79 drawio-тестов зелёные. Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>	2026-07-10 16:15:06 +03:00
agent_coder	e454fe189c	feat(mcp): drawio стадия 2 — правила качества, каталог фигур, guide, ELK-лейаут, warnings (#424) ... Надстройка над стадией-1 (сырой mxGraph XML) — помогает агенту рисовать корректные диаграммы без бэкенд-рендеринга: - hard-rules в описаниях drawio_create/drawio_update (геометрия, parent- relative координаты, стили); - drawio_guide (5 секций: skeleton / layout / containers / icons-aws / icons-azure, каждая ≤4KB) — по требованию, не раздувает контекст; - drawio_shapes — реальный jgraph shape-index (10446 фигур, gzip 437KB, ленивый node:zlib gunzip) + курируемый оверлей (service-level паттерны AWS/Azure, note-подсказки на пустые resIcon, палитра категорий); ранжирование aws4>aws3; escapeRe в score (не ReDoS); - layout:"elk" через elkjs (чистый JS, dependencies:{}) — compound-nesting, best-effort (на сбое ELK возвращает нормализованный вход), 73→0 warnings на 12-узловом графе; - 6 типов quality-warnings в линтере (overlap, out-of-bounds, edge-cross, и т.п.), геометрия Liang-Barsky; warnings НИКОГДА не блокируют write. Оба новых инструмента в SHARED_TOOL_SPECS (tier:deferred) + SERVER_ INSTRUCTIONS; drift-guards зелёные. elkjs ^0.11.1 — единственный новый рантайм-деп; lockfile синхронизирован (--frozen-lockfile --offline EXIT 0). data/ едет с воркспейсом (.gitignore-негация !packages/mcp/data/). Внутренний цикл: 1 проход внутреннего ревью (APPROVE WITH SUGGESTIONS); все 59 профильных тестов зелёные. Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>	2026-07-10 16:12:37 +03:00