App-layer read-only D1 guard за web worker-а (@sigma/db wrapper)

[todorkolev]

Контекст

D1 няма native runtime read-only binding - env.DB дава пълен read+write и това не се скоупва на ниво binding (CF токените са само за deploy/migrations, не за runtime). Затова least-privilege за четене се постига на app-layer.

Тук се получава чисто, защото web worker-ът никога легитимно не пише в D1: всички записи идват от sigma-etl (отделен worker с отделен binding); кешът е през Cache API, лимитерите - през ratelimit binding, report snapshot-ите - в R2. Единственият модел-контролиран SQL е assistant run_sql, който е замислен само за четене.

Предложение

Тънък read-only wrapper над env.DB, изложен от @sigma/db и ползван навсякъде в web. Отхвърля всичко освен четене (INSERT / UPDATE / DELETE / REPLACE, DDL, PRAGMA, ATTACH и т.н.), така че write просто не е достъпен от web runtime. Един chokepoint в @sigma/db.

Ползи

1. Least-privilege / defense-in-depth за целия web D1 достъп.
2. Обезврежда read-only D1 gate-а: щом web няма write-capable binding, assistant run_sql няма как да стигне до write път - AST guard-ът в sql-guard.ts спира да е единствената носеща защита.

Обхват и бележки

• Това е app-layer мярка. Не е и не заменя:
  • D1 read replication (perf/латентност, отделен въпрос - и не сваля цената: таксува се на прочетени редове независимо дали заявката е обслужена от primary или replica);
  • неотменяемия per-query timeout за run_sql (отделен gate item в AI асистент (#80) — launch-gate чеклист преди provision/изложение #83).
• Миграциите се движат от deploy/ETL, не от web runtime - wrapper-ът да не ги закача.
• Всички пътища, които днес ползват env.DB директно, да минат през wrapper-а.

Връзки

• Имплементира read-only частта на assistant: run_sql must use a read-only D1 binding before the prod BgGPT key #134 (assistant run_sql read-only binding). Препоръка: щом това влезе, assistant: run_sql must use a read-only D1 binding before the prod BgGPT key #134 да се затвори като покрито или да се стесни до „провери, че run_sql минава през read-only wrapper-а" - да не се дублира работа.
• Част от launch-gate чеклиста AI асистент (#80) — launch-gate чеклист преди provision/изложение #83 (item „Read-only D1 data path за run_sql").
• Контекст: security ревю на feat(assistant): integrity core + RAG foundation for the AI assistant #80 / мърджнатата серия (2026-07-03).

[nikimilenkov]

Аз ще работя над тази задача.