13.3 Секреты и шифрование полей

• secret<T>: Show выводит ***; значение не попадает в логи и трассы; сериализуется только по §9.3; память затирается при уничтожении; чтение — s.reveal() (анализатор следит, чтобы результат не утекал в лог).
• @encrypted на поле таблицы, топика или актора — конвертное шифрование AES-256-GCM: ключ данных шифруется мастер-ключом из встроенного KMS координатора или внешнего kms(url) в cluster. Ротация мастер-ключа — oxl keys rotate.

Определяется реализацией. KMS и шифрование (D-8055; DIV-027; D-4739, D-4899, D-4999). Эта реализация: мастер-ключ читается из файла (OXL_KMS_KEY_FILE; в профиле dev без него создаётся локальный файл ключа с предупреждением, в prod — отказ); внешний kms(url) не поддерживается; @encrypted шифрует запись целиком, а не отдельное поле; ключи данных привязаны к узлу; CA-кастодиан — один узел без failover; закрытый ключ присоединяющегося узла хранится без обёртки.

Связанные диагностики

secret-leak

Исходник: docs/spec/oxl-standard.md