release: v0.7.2 — Security Audit Remediation (SA-01 bis SA-07)

- SA-01: Container-DoS / KDF-Amplification Schutz mit Pre-KDF Validierung, max 2 Slots (nur 0 und 1), Slot 0 Pflicht und strikten BLOB-Laengen
- SA-02: Release-Signierung in CI entkoppelt (getrennte build und sign-and-release Jobs, Secret-Isolation)
- SA-03: Pinned Download-Integritaet fuer minisign.exe in CI via SHA-256
- SA-04: Immutable Action-Pinning (@sha) und Toolchain-Pinning (1.85.0) in CI
- SA-05: Session-Token vollstaendig aus URIs verbannt (403 Forbidden bei Vorkommen im Pfad/Query)
- SA-06: Constant-Time Token- und Auth-Vergleiche via subtle::ConstantTimeEq
- SA-07: Dokumentations-Klarstellung bzgl. logischem Shredding vs. physischer SSD/FTL/CoW-Persistenz

src/carrier.rs

@@ -10,8 +10,8 @@ use bytes::{Buf, Bytes, BytesMut};
 use dav_server::{
     davpath::DavPath,
     fs::{
-        DavDirEntry, DavFile, DavFileSystem, DavMetaData, FsError, FsFuture, FsStream,
-        OpenOptions, ReadDirMeta,
+        DavDirEntry, DavFile, DavFileSystem, DavMetaData, FsError, FsFuture, FsStream, OpenOptions,
+        ReadDirMeta,
     },
 };
 use futures_util::stream;
@@ -624,9 +624,7 @@ impl DavFileSystem for CarrierFs {
             };
 
             inner.manifest.inodes.insert(new_id, new_dir);
-            inner
-                .save_manifest()
-                .map_err(|_| FsError::GeneralFailure)?;
+            inner.save_manifest().map_err(|_| FsError::GeneralFailure)?;
 
             Ok(())
         })
@@ -659,9 +657,7 @@ impl DavFileSystem for CarrierFs {
             }
 
             inner.manifest.inodes.remove(&node.id);
-            inner
-                .save_manifest()
-                .map_err(|_| FsError::GeneralFailure)?;
+            inner.save_manifest().map_err(|_| FsError::GeneralFailure)?;
 
             Ok(())
         })
@@ -690,9 +686,7 @@ impl DavFileSystem for CarrierFs {
             }
 
             inner.manifest.inodes.remove(&node.id);
-            inner
-                .save_manifest()
-                .map_err(|_| FsError::GeneralFailure)?;
+            inner.save_manifest().map_err(|_| FsError::GeneralFailure)?;
 
             Ok(())
         })
@@ -748,9 +742,7 @@ impl DavFileSystem for CarrierFs {
                 inode.modified_at = now;
             }
 
-            inner
-                .save_manifest()
-                .map_err(|_| FsError::GeneralFailure)?;
+            inner.save_manifest().map_err(|_| FsError::GeneralFailure)?;
 
             Ok(())
         })
@@ -1011,9 +1003,7 @@ impl DavFile for CarrierFile {
                 inode.modified_at = now;
             }
 
-            inner
-                .save_manifest()
-                .map_err(|_| FsError::GeneralFailure)?;
+            inner.save_manifest().map_err(|_| FsError::GeneralFailure)?;
 
             self.meta.size = self.file_size;
             self.meta.modified_at = UNIX_EPOCH + Duration::from_secs(now);
@@ -1025,7 +1015,10 @@ impl DavFile for CarrierFile {
 impl Drop for CarrierFile {
     fn drop(&mut self) {
         if let Err(e) = self.flush_cached_block() {
-            tracing::warn!("Fehler beim automatischen Flush im CarrierFile::drop: {:?}", e);
+            tracing::warn!(
+                "Fehler beim automatischen Flush im CarrierFile::drop: {:?}",
+                e
+            );
         }
         if let Some((_, ref mut data, _)) = self.cached_block {
             data.zeroize();