Release Report — Stage Beta · Sprint Beta-6 · Operational Hardening #1 · Transactional Audit

Mục tiêu duy nhất: loại bỏ rủi ro mất đồng bộ giữa business state và audit. Không thêm feature, không đổi API, không migration.

1. Những gì đã thay đổi

Chỉ 1 file source + 1 file test + 3 docs.

• provisioning/provisioning-service.ts — gói mỗi thao tác Provisioning có audit vào một prisma.$transaction;

audit ghi bằng cùng tx ⇒ state + audit nguyên tử. Các thao tác được bọc: createPartner · transitionPartner (activate/suspend/reactivate/revoke Partner) · issueKey · rotateKey · revokeKey · provisionTenant · transitionTenant (activate/suspend/reactivate/archive Tenant).

• writeAudit(db, …) nhận client tx; fail-closed: không dựng/không ghi được audit ⇒ NÉM ⇒ rollback.
• revokeCustomerKeys(db, …) nhận tx (được gọi trong tx của revoke Partner).
• Thêm seam test appendAudit (mặc định = PrismaAuditRepository.append) để giả lập lỗi audit — hành vi production không đổi.
• __tests__/audit-transaction.test.ts (mới) — chứng minh bất biến bằng fault-injection.
• Docs: AUDIT-TRANSACTION-DESIGN.md, AUDIT-FAILURE-MATRIX.md, báo cáo này.

2. Những gì KHÔNG thay đổi

• Booking path đã nguyên tử từ trước (Beta-1/2): KernelContextBuilder.runInTenantScope bọc reservation + outbox + audit

trong prisma.$transaction, audit sink bound ctx.tx. Không đụng — đã thoả bất biến.

• API contract / OpenAPI: không đổi (Provisioning là CLI, không có HTTP endpoint; Booking API không đụng).
• Partner / Tenant / Booking lifecycle (state machine, transition, audit action): không đổi — chỉ đổi *transaction boundary*.
• Audit model (AuditEvent append-only, PrismaAuditRepository, schema audit_events): không đổi.
• Migration: 0. Deployment: 0. Platform Core (packages/platform-core): 0. Frontend: 0.

3. Test result

• lint ✅ · typecheck:all ✅ · test:domain ✅ · test:core ✅ · platform:metadata:check ✅
• test:infra (Postgres ephemeral Docker): 200/200 PASS, 0 fail — gồm 8 test Beta-6 mới + toàn bộ regression xanh

(booking, auth, RLS, partner Beta-4, tenant Beta-5, ops).

• audit-transaction.test.ts (8 case) — chứng minh bất biến:
• Business success → đúng 1 audit (không trùng).
• Audit lỗi giả lập → rollback: 0 state / 0 audit cho createPartner, suspendPartner, issueKey, rotateKey, provisionTenant, suspendTenant (status/tenantId/key giữ nguyên, không mồ côi).
• Transition không hợp lệ → 0 state / 0 audit.

4. Rủi ro còn lại

1. Booking Kernel audit sink bỏ qua AuditEvent.record ok:false (Thấp, edge): chỉ với input audit không hợp lệ —

không phát sinh cho reservation.*. Booking vẫn rollback với mọi lỗi ghi audit THẬT (append trong tx). *Beta-7:* fail-closed hoá sink cho đồng nhất.

1. Transaction dài hơn (Thấp): mỗi thao tác Provisioning giờ mở 1 tx (2–4 câu lệnh + 1 audit). Thao tác ops, tần suất thấp ⇒ không đáng ngại.
2. Idempotency mức nghiệp vụ (ngoài phạm vi): retry một thao tác đã thành công tạo thao tác mới (vd 2 partner). Không thuộc bất biến audit; ghi backlog Hardening.
3. Chưa quan sát CI live (platform-ci.yml): verify cục bộ bằng đúng các lệnh CI; job chạy khi push/PR main.

5. Đề xuất Beta-7

1. Fail-closed hoá Booking Kernel audit sink (createAuditFactory) — đóng nốt edge #1, hoàn tất bất biến cho mọi context.
2. Idempotency mức thao tác ops (issue-key/create-partner…): khoá idempotency để retry an toàn không nhân bản.
3. Outbox ↔ audit consistency review: xác nhận outbox event + audit + aggregate cùng nằm trong một tx boundary ở mọi handler.
4. Observability cho audit (OTel/metrics): đếm audit theo action, cảnh báo lệch state↔audit (giám sát bất biến ở runtime).

QA — Definition of Done

Trạng thái Sprint: bất biến Transactional Audit đạt trên kiểm chứng cục bộ (200/200, fault-injection). Còn lại: một lần chạy xanh platform-ci.yml trên PR. Chờ Founder review.