[openaudit-search-api] Observabilidade MVP: logs estruturados + request_id + redaction (sem PII)

[4lessandrodev]

Repo: openaudit-search-api

Tags: priority:high type:feature area:observability area:security

Visão geral

Padronizar logs do serviço para auditoria operacional e reduzir risco de vazamento de dados.

Contexto

O projeto exige minimização de dados sensíveis e rastreabilidade. Logs devem incluir request_id e query_hash, nunca q bruto.

Descrição

Implementar módulo de observabilidade:

• Gerar request_id se ausente (UUID).
• Retornar X-Request-Id.
• Logar evento por request:
  • event.name=catalog.search
  • query_hash, catalog_version, limit, offset, result_count, cache_hit, latency_ms
• Implementar redaction:
  • remover/mascarar req.query.q
  • remover headers authorization, cookie

Opcional:

• Integrar com openaudit-observability quando disponível.

Testes:

• garantir que logs não contêm q bruto
• garantir presença de request_id

Impacto

Aumenta defensabilidade e capacidade de operar o serviço com segurança. Evita que o search-api vire fonte de PII em logs.

Referências

• https://github.com/OpenAudit-Brasil/openaudit-search-api/blob/main/README.md
• https://github.com/OpenAudit-Brasil/About/blob/main/SECURITY.md
• https://github.com/OpenAudit-Brasil/About/blob/main/RISK_POLICY.md
• https://github.com/OpenAudit-Brasil/About/blob/main/MANIFESTO.md

Definição de pronto

• X-Request-Id presente em respostas
• Logs estruturados incluem query_hash e catalog_version
• Testes provam ausência de q bruto e headers sensíveis
• Documentação no README explicando campos logados