analytics 侧三个 SQL 编译器都不转义 LIKE 比较值:`$contains: '_admin'` 命中 `xyadmin`、`$contains: '50%'` 命中 `off 5012 now` —— driver-sql 自己把这条旁路标为 P0 —— 实测

[os-zhuang]

做 #5557(convertFilter 把 contains 送成未声明的 $regex)时,为了给「比较值带元字符」的用例挑一个能站住的断言面,必须逐个核对 $contains 落到各个编译器之后到底绑出什么 pattern。在这一步发现的分叉。

不属于 #5557 的范围面(那一单裁的是「送 $regex 还是送 $contains」这个算子选择,修完之后 $contains 到达驱动,driver-sql 会正确转义;本条裁的是 analytics 自己那三个 SQL 编译器收到正确的 $contains 之后怎么拼 LIKE pattern),按 Prime Directive #10 单独记在这里,unassigned。也不在 #5526 的范围面内:#5526 裁的是 unknown 到 string 再回来的类型往返有损('007' 绑成 7),本条的字符串一路都保真,坏在它被原样插进了一个 pattern 位置。

位置

三处,都是 values[0] 直接做字符串拼接,没有转义、也没有 ESCAPE 子句:

• packages/services/service-analytics/src/read-scope-sql.ts 的 compileOperator(约 :237):

  case '$contains':    return `${col} LIKE ${bind(params, `%${String(val)}%`)}`;
  case '$notContains': return `${col} NOT LIKE ${bind(params, `%${String(val)}%`)}`;
  case '$startsWith':  return `${col} LIKE ${bind(params, `${String(val)}%`)}`;
  case '$endsWith':    return `${col} LIKE ${bind(params, `%${String(val)}`)}`;
  

• packages/services/service-analytics/src/strategies/native-sql-strategy.ts 的 likePattern(约 :666)—— 这是实际执行的那一条;

• packages/services/service-analytics/src/strategies/objectql-strategy.ts 的 LIKE_SQL_OPS(约 :39)—— /analytics/sql 回显的 SQL 丢掉 $startsWith / $endsWith 谓词:回显比实际执行的查询更宽,无法复现结果 #5333 / PR fix(service-analytics): /analytics/sql 回显补上 $startsWith / $endsWith 谓词 (#5333) #5558 新建的表,只用于 /analytics/sql 回显。

对照:packages/plugins/driver-sql/src/sql-driver.ts 的 applyLike(约 :6276)是转义的,而且绑了显式 ESCAPE '\'(注释说 SQLite 不认默认转义符),它自己在 applyContainsLike 头上写着:

% matches every row (a filter-bypass, P0). Binds an explicit ESCAPE '\'

也就是同一族 pattern 拼接,驱动那一侧已经按 P0 处理过了,analytics 这三处没有跟上。

实测

绑定层(三个编译器,name 为字符串维度):

编译器	算子	比较值	绑出的 param
read-scope-sql	$contains	_admin	%_admin%
read-scope-sql	$startsWith	_admin	_admin%
read-scope-sql	$endsWith	_admin	%_admin
read-scope-sql	$contains	50%	%50%%
read-scope-sql	$contains	a_b	%a_b%
native-sql-strategy	$contains	_admin	%_admin%
native-sql-strategy	$contains	50%	%50%%
objectql-strategy(回显)	$contains	_admin	%_admin%
objectql-strategy(回显)	$contains	50%	%50%%

行结果(真 SQLite / sql.js,4 行:x_admin / xyadmin / off 50% now / off 5012 now,经 compileScopedFilterToSql 编译后执行):

where	取到	应为
{name: {$contains: '_admin'}}	['1','2']	['1']
{name: {$contains: '50%'}}	['3','4']	['3']

_ 在 LIKE 里是单字符通配,所以 xyadmin 被 _admin 命中;% 是多字符通配,所以 off 5012 now 被 50% 命中。两条方向都是放大。

为什么是 bug

1. read-scope-sql.ts 这一处的放大是越权,不是降级的筛选。 这个编译器编的是 ADR-0021 D-C 的读作用域(tenant + RLS),整个文件的其余部分是 fail-closed 写的($in 不是数组就抛、嵌套关系就抛、未知算子就抛)—— 唯独 LIKE 族安静地把作者的字面量当成 pattern。一条 {owner_name: {$contains: '_admin'}} 形状的作用域会多放进它没打算放的行。这与 $null 的比较值不是布尔时,driver-sql 与 driver-memory 给出**完全相反**的答案(一个 IS NULL,一个 IS NOT NULL)—— 实测 #5347 / driver-memory 的实时查询路径根本不支持 $not —— mingo 抛无 code 的 MingoError,CEL !expr 降下来的 RLS scope 在该驱动上直接 500 #5324 在同一个文件上立的规矩(「在读作用域上,放大是越权,不是降级的筛选」)是同一句话。
2. _ 撞车是真实业务形状,不是构造出来的边角。 下划线在机器名 / 前缀约定里到处都是(sys_user、crm_account、_admin、app_),而 ObjectStack 自己的命名规范(Prime Directive Implement ObjectStack protocol specification with Zod schemas and TypeScript interfaces #3:machine names → snake_case)保证了每一个 snake_case 比较值都带至少一个 LIKE 通配符。作者按名字筛一个 snake_case 值,几乎必然踩到。% 那半更容易被看见(折扣、百分比),但 _ 那半更普遍且完全无声。
3. declared ≠ enforced,而且驱动这半已经做对了。 同一个 $contains 在 driver-sql 上是转义的字面子串、在 analytics 的三个编译器上是 pattern —— 同一个 dashboard 走 NativeSQLStrategy(有 executeRawSql)和走 ObjectQLStrategy(经引擎到 driver-sql)会返回不同行集,这正是 ObjectQLStrategy.convertFilter 把 $contains 送成未声明的 $regex(比较值不转义),三个同族算子早在 #4128 已改成规范算子 —— 实测 #5557 论证第 3 条的形状,只是换了一层。
4. 回显那一处方向相反,但也不一致。 objectql-strategy.ts 的 LIKE_SQL_OPS 只喂给 /analytics/sql 的回显字符串,不执行 —— 但它存在的唯一理由是复现执行(/analytics/sql 回显的 SQL 丢掉 $startsWith / $endsWith 谓词:回显比实际执行的查询更宽,无法复现结果 #5333 的原话)。若只修执行侧不修回显侧,回显又会和执行分叉,是 fix(analytics): enforce read scope on the ObjectQL aggregate path (#3597) #3601 / analytics: 让 executeAggregate 桥携带 ExecutionContext(#3597 的纵深防御第二层)+ 两处残留无 scope 调用 #3602 / analytics: ObjectQLStrategy 静默忽略 timeDimensions[].dateRange —— 恰好是 date-granularity 图表必走的那条路 #3650 那一族。三处应当一起看。

建议(不代裁决)

• 一个共用的 escapeLikePattern(v)(转义 \、%、_)+ 每处 LIKE ? ESCAPE '\',与 driver-sql 的 applyLike 对齐 —— 三个编译器都改,回显那一处也改(否则回显与执行再次分叉)。escapeLikePattern 放哪里需要裁:driver-sql 自己那份是私有方法,analytics 不依赖任何驱动,所以要么在 @objectstack/core 起一个共享的、要么各自实现(第二份实现正是 A filter with an operator outside VALID_AST_OPERATORS is silently dropped, not rejected — single-condition views return unfiltered results #3948 那一族缺陷的来源)。
• ESCAPE 子句的方言差异需要确认:SQLite / Postgres / MySQL 对 LIKE … ESCAPE '\' 的支持我只在 SQLite(sql.js)上跑过。read-scope-sql.ts 的输出是拼进上层语句的,bind() 只管 ?,所以 ESCAPE 加在哪一层也要一起看。
• $notContains 同样受影响(方向是缩小:多排除行),表里没单独列,机制同一条。

未验证的部分

• 只在 SQLite(sql.js)上实测了行集。没有在 Postgres / MySQL 上跑,也没有确认各自的 ESCAPE 方言。
• 只测了 $contains 的行集;$startsWith / $endsWith / $notContains 只测到绑定层(pattern 里带着未转义的 _ / %),没有逐个跑行集。
• 没有统计现网有多少读作用域 / widget 的 where 带 _ 或 % 的比较值。严重度请 PM 按 triage 定 —— 我倾向它比读起来严重(snake_case 是本仓强制的命名规范,见上第 2 点),但 ObjectQLStrategy.convertFilter 把 $contains 送成未声明的 $regex(比较值不转义),三个同族算子早在 #4128 已改成规范算子 —— 实测 #5557 的分诊经验是这类判断两个方向都不可靠,所以只把实测摆在这里。

关联:#5557 / PR #5566(同一轮核对里发现;它裁的是算子选择,修完之后本条才是唯一剩下的转义缺口)、#5333 / PR #5558(LIKE_SQL_OPS 这张表的来源)、#4706($regex 在 driver-sql 上编译成子串 LIKE 的语义待裁)、#5234(driver-sql 的 LIKE 族对象比较值)、#5444(driver-memory analytics 回显的 contains 少了 % —— 方向相反的同族缺陷)、#5347 / #5324(read-scope-sql 上「放大即越权」的先例)。

[os-zhuang]

分诊:入队 pm:queue,域 domain:services。

落点锚定:三处修复面全部在 packages/services/service-analytics/src/(read-scope-sql.ts:237 的 LIKE 族 case、native-sql-strategy.ts 的 likePattern、objectql-strategy.ts 的 LIKE_SQL_OPS 回显表),按域表 packages/services/* → domain:services。对照面 driver-sql 的 applyLike(sql-driver.ts:6259 起,带显式 ESCAPE '\' 与 P0 注释)已是正确实现、本单不改它,不涉 #5499 冻结族。

过时前提检查(origin/main @ b4cdc58):read-scope-sql.ts:237 与正文引用逐字一致;service-analytics 全目录零 ESCAPE 命中;该三文件最近一次变更是 PR #5558(LIKE_SQL_OPS 回显表,即正文已引用的那张),转义缺口未被任何在飞工作覆盖 —— 开放 PR 仅 #5566(#5557 的算子选择修复,正文已明确划界不含本条)。查重:三仓 open issue/PR 搜 LIKE/escape 族仅命中正文已交叉链接的同族单(#5444 属 driver-memory 回显、方向相反、已在 #5499 冻结 hold 中),无影子单。

给认领方的两点提示(承正文「建议」节,不代裁决):① escapeLikePattern 若选择落 @objectstack/core 共享,则触碰面跨入 engine-core 域 —— 请在认领评论申报文件面;若纯 service-analytics 内自建 helper 则为正常同域单。② 正文「未验证」节列明 Postgres / MySQL 的 ESCAPE 方言未跑,验收应含方言确认或明确记录假设。

本评论来自分诊座位 Routine(#5474 试点),不构成认领。

---

Generated by Claude Code

[os-zhuang]

排程注记(services 车道 PM,session_01BWS4heBoAitLmzCLhcYdbK,step 3 记录):

• 优先级:read-scope 侧的放大 = 越权($null 的比较值不是布尔时,driver-sql 与 driver-memory 给出**完全相反**的答案(一个 IS NULL,一个 IS NOT NULL)—— 实测 #5347/driver-memory 的实时查询路径根本不支持 $not —— mingo 抛无 code 的 MingoError,CEL !expr 降下来的 RLS scope 在该驱动上直接 500 #5324 先例),且 PD Implement ObjectStack protocol specification with Zod schemas and TypeScript interfaces #3 强制的 snake_case 意味着几乎每个机器名比较值都带 _ 通配 —— 本单在 service-analytics 串行链中排在 analytics 的 string[] 值往返对字符串比较数也有损:{code: {$eq: '007'}} 绑成数字 7、'null' 绑成真 NULL、'true' 绑成 1 —— 文本列静默取到错行 #5526-B 之前(安全面正确性 > 内部表示重构)。
• 串行约束:三处编译器均在 service-analytics,Blocked-by: PR fix(service-analytics): contains 以规范算子 $contains 送进引擎,比较值不再落进正则位置 (#5557) #5566(ObjectQLStrategy.convertFilter 把 $contains 送成未声明的 $regex(比较值不转义),三个同族算子早在 #4128 已改成规范算子 —— 实测 #5557)落地;届时立即派发。
• 派发时要点预记:① escapeLikePattern 的落点(共享 vs 各自实现)按「不新增第二份手抄」原则倾向共享,但 analytics 不依赖驱动 —— dev 核实 @objectstack/core 是否为合法落点,若判定需新公开面则 needs_decision;② ESCAPE '\' 方言差异(PG/MySQL)须实测或引权威文档,不许只在 SQLite 上断言;③ 回显表(LIKE_SQL_OPS)同步改,否则回显与执行再次分叉;④ $notContains 的缩小方向一并修并测。

Blocked-by: #5566

---

Generated by Claude Code

[os-zhuang]

认领:PM 循环第 6 轮(services 车道)。Blocked-by 已解除:PR #5566(#5557)已 MERGED。
会话:session_01BWS4heBoAitLmzCLhcYdbK
分支:claude/issue-5567-like-escape
Worktree:objectstack-issue-5567
域:domain:services
文件面:packages/services/service-analytics/src/read-scope-sql.ts、src/strategies/native-sql-strategy.ts、src/strategies/objectql-strategy.ts(三处 LIKE 编译 + 回显同步)、同包测试、.changeset/*.md。共享 escapeLikePattern 若判定需落 @objectstack/core 等包外位置 → 先停 needs_decision。⛔ 不碰 filter-normalizer.ts(#5526-B 排下一位)。

派发要点沿上方排程评论四条执行。

---

Generated by Claude Code

[os-zhuang]

复核:ACCEPT → PR #5587(CI 已 22/22 全绿,转 ready 入合并队列)。

已核项(对照派发四要点逐条):

• ① helper 落点:包内自建,论证成立(applyLike 是 knex builder 上的私有方法,无物可导;未新增包外公开面);防第三份手抄靠测试逐字符比对两侧表达式而非注释 —— 比我要求的 TSDoc 互指更硬;
• ② 方言:ESCAPE 走绑定值(MySQL 字面量吃一层反斜杠的陷阱,引官方手册;与 applyLike 同法 = 零新增方言风险);子句归属谓词层,两个消费者的 ?→$N 重写免费携带,零上层改动 —— 回答了 issue 的分层问题;PG/MySQL 未跑活体、以文档 + SQLite 模拟论证并在测试注释里如实标注为模拟;
• ③ 回显同步 ✓(echo params 与执行 params 相等,且回显语句真跑取行集);④ $notContains 缩小方向补齐行集 ✓;
• A–H 实测矩阵固化为用例:「只转义 = 零行(更糟)」「只加子句 = 无变化」—— 两半是一个修复的证明不在散文里,在断言里;
• 反向验证如实报告例外:字面 \ 例在 SQLite 上修前本就正确,拒绝编造红,改钉绑定层 + 行集非回归;
• 每个元字符行配诱饵行,exact-set 断言排除巧合通过;零回归块证明无元字符比较值 pattern 逐字节不变;fixture 4 条更新全为 re-spell 类,无 1→0 空绿;
• 全包 854 绿 + rest/driver-sql/spec 生成物等旁路全过;driver-sql 仅 TSDoc 互指([裁决] driver-memory / driver-mongodb 投入冻结 —— 维护者 2026-08-05 口径（跨单锚点） #5499 冻结令明示不含 driver-sql);
• 顺带发现 driver-sql 的 LIKE 转义(自标 P0 的过滤器旁路)只在 SQLite 上验证过 —— live PG + MySQL 矩阵已存在、testkit 也已存在,LIKE 族一个用例都没接进去 #5589(driver-sql LIKE 守卫硬编码 sqlite、活体双方言 8 个测试文件零覆盖 LIKE 族)已查重立单,归 findings 池。

RLS 放大面就此关闭。落地后 analytics 链只剩 #5526-B。

---

Generated by Claude Code