labfy-investigation/docs/architecture/LOCAL_WORKSPACE_IMPORT.md

Espace local et import navigateur — CURRENT

Contrat

make web-workspace-local WORKSPACE=/chemin/explicite fixe l’unique destination de l’instance. Le navigateur ne transmet jamais de chemin serveur. Après la session locale, un espace absent présente Créer l’enquête ; seul ce POST appelle tools/local-jobs create-workspace. Il crée une base V20 à la racine, un JobStore V3 vide et .labfy/runtime/workspace.json. Aucun corpus, preuve, observation, plan ou job n’est préinséré. Les espaces SPECIMEN J5–J9 conservent leur manifeste et leurs commandes historiques.

Une disposition est non ambiguë lorsqu’elle contient soit Enquete.sqlite et le manifeste générique à la racine, soit le manifeste SPECIMEN historique. L’absence de base dans un espace manifesté, une version non supportée ou un manifeste incohérent est une erreur d’ouverture ; il n’y a pas de recréation ni de conversion d’une ancienne enquête GTK.

Réception, préparation et publication

Le contrôle input type=file envoie les octets par PUT application/octet-stream vers un upload_id opaque. Session, Host, Origin et CSRF sont contrôlés. Les JSON restent plafonnés à 4 Kio. Les limites d’import sont 4 Mio par fichier, 8 fichiers et 16 Mio par sélection, 64 Mio de staging, deux réceptions et 30 secondes. Chaque sélection possède une identité opaque : le serveur réserve atomiquement son nombre de fichiers, ses octets de lot, les octets de staging et une place de réception avant de lire le corps. Le client sérialise une sélection multiple ; le serveur relit la longueur effective par blocs avec une échéance interruptible et refuse transfert tronqué, signature/type incohérents, nom avec séparateur/contrôle et formats autres que EML/PNG/JPEG.

Le staging privé .labfy/uploads n’est pas servi. Les octets sont inchangés et leur SHA-256 est calculé puis revérifié par le cœur. EvidenceImporter accepte facultativement l’UUID réservé et le nom original de l’intention ; son contrat historique reste inchangé quand ces champs valent NULL. La date de collecte absente reste NULL. Un contenu identique dans deux intentions produit deux preuves ; le rejeu d’une même clé retrouve le même UUID. Une clé liée à une autre intention est refusée.

Les états persistés sont RECEIVING, TRANSFERRING, PREPARED, CONFIRMING, IMPORTED, CANCELLED et FAILED. Réception, confirmation et annulation d’un même upload sont sérialisées ; un état terminal ne peut pas être rouvert par un nouveau PUT. Les reçus JSON privés .labfy/imports décrivent l’opération et référencent la preuve V20 sans devenir une seconde vérité métier. L’intention canonique structurée et le reçu CONFIRMING sont durables avant le premier effet. Un verrou de publication sérialise ensuite les confirmations. L’ordre est : réception temporaire, contrôle/format, renommage en payload, UUID réservé, intention, copie immuable, transaction SQLite, reçu IMPORTED, puis nouveaux snapshots. Un arrêt avant confirmation laisse une préparation annulable ; après commit, la preuve est retrouvée par UUID et le reçu peut être réconcilié. Chaque rejeu compare l’intention, le record V20 et l’original effectivement publié (identités, métadonnées, taille et SHA-256). Un reçu tronqué, un record incohérent ou un original manquant/altéré donne une erreur de récupération, jamais une nouvelle preuve ni une réparation silencieuse.

Raccordement et limites

Après chaque publication, le cœur relit les DAO et tente de republier graphe, corrélations et planner. Cette projection est réessayable : son indisponibilité ne transforme pas une preuve déjà commitée et vérifiée en import en attente. Aucune analyse ne démarre à l’import : l’utilisateur approuve les recommandations et budgets J8. Les rapports J9 utilisent ensuite les objets persistés et leurs dérivés. Le mode affiché provient du manifeste : SPECIMEN ou local expérimental, sans prétendre classifier les données.

Ce lot expérimental ne prend pas en charge ZIP, répertoire récursif, SQLite téléversée, anciennes dispositions GTK, accès distant, TLS ni multi-utilisateur. Il ne constitue pas une certification de production ni une autorisation de traiter des enquêtes réelles.