AST-Audit-Trail

Auf einen Blick

NextPDF Enterprise zeichnet jede AST-Mutation als nur anfügbaren, dokumentbezogenen Audit-Trail auf und erzeugt semantisch begrenzte, zitatverankerte Chunks eines AST für nachgelagerte Pipelines. Der Trail unterstützt Audit- und Nachvollziehbarkeits-Workflows. Er ist keine rechtliche Bescheinigung und keine Zertifizierung der Dokumentintegrität.

Verfügbarkeit und Lizenzierung

Diese Fähigkeit wird mit NextPDF Enterprise (nextpdf/enterprise) ausgeliefert und aktiviert sich mit einem Lizenzumschlag der Enterprise-Stufe. Eine Bereitstellung ohne diese Berechtigung lädt die Klassen der Fähigkeit nicht. Editionen vergleichen und Lizenz erwerben.

Installation

composer require nextpdf/enterprise:^3

Konzeptioneller Überblick

AstAuditTrailInterface ist der Aufzeichnungsvertrag. record($documentSourceHash, $log) wandelt jeden Eintrag aus einem Pro-AST-MutationLog in einen AstAuditEntry um und fügt ihn an; wiederholte Aufrufe mit demselben Dokumenthash akkumulieren Einträge. Die Implementierung ist vertraglich nur anfügbar: Einmal aufgezeichnet, kann ein Eintrag nicht mehr geändert oder entfernt werden. findByDocument($hash) gibt die Einträge für ein Dokument in Einfügereihenfolge zurück; count() gibt die Gesamtzahl über alle Dokumente zurück. InMemoryAstAuditTrail ist die Referenzimplementierung.

AstAuditEntry ist eine unveränderliche Aufzeichnung einer Mutation: der Dokumentquell-Hash, die kanonische Node-ID, der Mutationstyp (updated / inserted / deleted), der nullbasierte Seitenindex, Vorher-/Nachher-Schnappschüsse der Attribute und die UTC-Zeit, zu der der Eintrag aufgezeichnet wurde. Der Abruf ist pro Dokumenthash begrenzt, sodass die Audit-Historie pro Dokument isoliert bleibt.

AstAwareChunker durchläuft einen AST tiefenorientiert und gibt AstChunk-Instanzen aus, die die Dokumentstruktur respektieren: Überschriften beginnen einen neuen Chunk, Blatttext akkumuliert bis zu einer konfigurierten Größe, und ein Überlappungsfenster bewahrt die Kontinuität über Trenngrenzen hinweg. Jeder Chunk trägt die Node-ID, den Seitenindex, die Bounding Box und den Node-Typ seines ersten beitragenden Knotens, sodass nachgelagerte Systeme einen präzisen Quellort zitieren können.

Was dieses Modul behauptet

Dieses Modul zeichnet die Mutationshistorie auf und erzeugt strukturierte Chunks. Es zertifiziert keine Integrität und stellt keine rechtliche Bescheinigung bereit.

• Der Audit-Trail ist vertraglich innerhalb des konfigurierten Speichers nur anfügbar. Manipulationssicherheit und Nichtabstreitbarkeit sind Eigenschaften davon, wo und wie Sie ihn persistieren und mit Zeitstempeln versehen (siehe Evidence), keine Garantie, die dieses Modul für sich allein abgibt.
• Das Aufzeichnen einer Mutation dokumentiert, dass sie stattgefunden hat. Es validiert oder autorisiert die Änderung nicht.
• Chunk-Zitate verweisen auf Quellorte; sie sind Navigationshilfen, keine Konformitätsansprüche.

Ein Audit-Trail unterstützt Audit-Workflows; er ist keine rechtliche Bescheinigung und keine Audit-Zertifizierung.

Stufengrenze

• NextPDF Core / Pro AST stellen das AST-Modell und das Mutationsprotokoll bereit.
• NextPDF Enterprise AST (diese Seite) ergänzt den nur anfügbaren, dokumentbezogenen Audit-Trail über diesen Mutationen und den zitatverankerten Chunker. Es konsumiert das Pro-Mutationsprotokoll; es ersetzt das AST-Modell nicht.

Warum es so funktioniert

Die tragende Entscheidung ist Umfangszurückhaltung. Dieses Modul zeichnet auf, dass eine Mutation stattgefunden hat; Dauerhaftigkeit, Manipulationssicherheit und Nichtabstreitbarkeit werden an den zugrunde liegenden Speicher und das Evidence-Modul delegiert. Das hält das Versprechen ehrlich: eine Aufzeichnungshilfe für Auditoren, keine Zertifizierung, die das Modul allein nicht belegen kann. Der Abruf ist über documentSourceHash verschlüsselt, sodass die Historie eines Dokuments nie in die eines anderen übergeht. Der Chunker verankert jeden Chunk an seinem ersten Knoten und validiert maxChunkChars und overlapChars im Voraus, sodass Zitate präzise bleiben. Persistenz und Residenz bleiben in der Hand des Betreibers, sodass dieselbe Oberfläche sowohl WORM-gestützte Evidence-Speicher als auch leichtere Pipelines bedient.

Design-Hintergrund: Compliance, die Sie einem Auditor übergeben können.

API-Oberfläche

Klasse / Interface	Verantwortlichkeit
AstAuditTrailInterface	Vertrag für nur anfügbare Aufzeichnung und dokumentbezogenen Abruf.
AstAuditEntry	Unveränderliche Aufzeichnung einer Mutation mit Vorher-/Nachher-Schnappschüssen.
InMemoryAstAuditTrail	Referenzimplementierung des nur anfügbaren Trails.
AstAwareChunker	Strukturrespektierender, zitatverankerter AST-Chunker.
AstChunk	Ein Chunk mit Node-ID, Seitenindex, bbox und Node-Typ.

Codebeispiel — Schnellstart

$trail->record($documentSourceHash, $mutationLog);
$entries = $trail->findByDocument($documentSourceHash);

Codebeispiel — Produktion

$trail->record($documentSourceHash, $mutationLog);

foreach ($trail->findByDocument($documentSourceHash) as $entry) {
    $logger->info('ast.audit', [
        'node'     => $entry->nodeId,
        'type'     => $entry->mutationType,
        'page'     => $entry->pageIndex,
        'recorded' => $entry->occurredAt->format(DATE_RFC3339),
    ]);
}
// Persist the trail in a WORM-backed store for tamper-evidence (see Evidence).

Sonderfälle und Stolperfallen

• Das zweimalige Aufzeichnen desselben MutationLog akkumuliert Einträge; deduplizieren Sie vorgelagert, wenn Sie Idempotenz benötigen.
• Der In-Memory-Trail ist nicht dauerhaft; Produktionsbereitstellungen stellen ein persistentes AstAuditTrailInterface bereit.
• „Nur anfügbar” ist ein Vertrag des Speichers, keine kryptografische Eigenschaft; kombinieren Sie es mit Evidence-Paketierung zur Manipulationssicherheit.

Performance

Das Aufzeichnen ist linear zur Anzahl der Mutationseinträge. Das Chunking ist ein einzelner tiefenorientierter AST-Durchlauf; die Kosten skalieren mit der Knotenanzahl und der konfigurierten Chunk-Größe.

Sicherheitshinweise

Vorher-/Nachher-Schnappschüsse können Dokumenttext enthalten. Behandeln Sie den Trail im Ruhezustand als sensibel. Der Nur-anfügbar-Vertrag verhindert In-Place-Bearbeitungen über diese API, aber Dauerhaftigkeit und Manipulationssicherheit hängen vom zugrunde liegenden Speicher ab.

Datenresidenz und PII-Minderungen

Mutationsschnappschüsse können aus Dokumenten extrahierte personenbezogene Daten enthalten. Die Persistenz wird an Ihre Trail-Implementierung delegiert, sodass die Residenz Ihrem Speicher folgt. Wenden Sie Aufbewahrungs- und Minimierungskontrollen auf aufgezeichnete Schnappschüsse an.

Sichere Telemetrie und Log-Bereinigung

Node-IDs, Mutationstypen, Seitenindizes und Zeitstempel sind sicher zu protokollieren. Vorher-/Nachher-Schnappschüsse können Dokumenteninhalt enthalten; schwärzen Sie sie, bevor Sie sie an gemeinsame Senken weiterleiten.

Konformität

Verhalten	Referenz	Status
Inkrementelle-Aktualisierung-/Integritätskontext	ISO 32000-2:2020 §12.8	Referenziert (Kontext für Manipulationssicherheit)

Diese Tabelle erfasst den Spezifikationskontext, in dem dieses Modul operiert. Der Audit-Trail ist eine Aufzeichnungshilfe, keine Zertifizierung und keine rechtliche Bescheinigung.

FIPS-Modus-Verhalten

Dieses Modul führt keine kryptografischen Operationen aus. Hashing, Signieren und Zeitstempelung für die Manipulationssicherheit werden von den Modulen Evidence, Security und Signature übernommen.

Bedrohungsmodell

Die Eingabe ist ein Mutationsprotokoll. Mitigationen: Nur-anfügbar-Aufzeichnungsvertrag, dokumentbezogene Begrenzung zur Isolierung von Historien sowie Delegation von Dauerhaftigkeit und Manipulationssicherheit an einen WORM-fähigen Speicher und das Evidence-Modul.

Verhaltensvertrag

• Der Audit-Trail ist vertraglich innerhalb des konfigurierten Speichers nur anfügbar: Einmal aufgezeichnet, kann ein Eintrag über diese API nicht mehr geändert oder entfernt werden.
• Jeder Eintrag ist eine unveränderliche Aufzeichnung einer Mutation (Dokumentquell-Hash, kanonische Node-ID, Mutationstyp, Seitenindex, Vorher-/Nachher-Schnappschüsse, aufgezeichnete UTC-Zeit); der Abruf ist pro Dokumenthash begrenzt.
• Das zweimalige Aufzeichnen desselben Mutationsprotokolls akkumuliert Einträge — deduplizieren Sie vorgelagert, wenn Idempotenz erforderlich ist.
• Der Chunker durchläuft den AST tiefenorientiert und gibt strukturrespektierende Chunks aus, die Node-ID, Seitenindex, Bounding Box und Node-Typ für eine präzise Quellenangabe tragen.
• Das Aufzeichnen einer Mutation dokumentiert, dass sie stattgefunden hat; es validiert oder autorisiert die Änderung nicht, und Chunk-Zitate sind Navigationshilfen, keine Konformitätsansprüche.

Publikationsgrenze

Diese Seite dokumentiert ausschließlich extern beobachtbares Verhalten und die unterstützte öffentliche API-Oberfläche. Interne Namespace-Pfade, Hilfsklassen, Mechanismustabellen, Runbook-Dateinamen und Ticket-Präfixe liegen außerhalb des Geltungsbereichs.

Core-Fallback

NextPDF Core / Pro AST stellen das AST-Modell und das Mutationsprotokoll bereit. Der nur anfügbare, dokumentbezogene Audit-Trail und der zitatverankerte Chunker haben kein Core-Stufen-Äquivalent; die Enterprise-Oberfläche konsumiert das Mutationsprotokoll, sie ersetzt das AST-Modell nicht.

Pro-Fallback

NextPDF Pro AST stellt das AST-Modell und das Mutationsprotokoll bereit, aber keinen nur anfügbaren, dokumentbezogenen Audit-Trail und keinen zitatverankerten Chunker. Diese werden ausschließlich im Paket nextpdf/enterprise ausgeliefert; die Enterprise-Oberfläche konsumiert das Pro-Mutationsprotokoll.

Hinweis zur Enterprise-Grenze

Der Aufzeichnungsvertrag, der dokumentbezogene Abruf und der Chunker werden auf Verhaltensebene beschrieben. Der Referenz-In-Memory-Trail ist dokumentiert; die dauerhafte Persistenz wird vom Host bereitgestellt, und etwaige interne Speicherinterna liegen außerhalb des Geltungsbereichs der öffentlichen Oberfläche.

Bereitstellungsgrenze

„Nur anfügbar” ist ein Vertrag des Speichers, keine kryptografische Eigenschaft. Der Betreiber stellt eine dauerhafte Trail-Implementierung bereit und ist dafür verantwortlich, sie in einem WORM-gestützten Speicher zur Manipulationssicherheit zu persistieren; Dauerhaftigkeit und Nichtabstreitbarkeit hängen von diesem Speicher und vom Evidence-Modul ab, nicht von diesem Modul allein. Mutationsschnappschüsse können personenbezogene Daten enthalten; die Residenz folgt dem Speicher des Betreibers.

Rechtliche Compliance-Grenze

Für die AST-Audit-Trail-Oberfläche gilt keine exportkontrollrechtliche Beschränkung. Ein Audit-Trail unterstützt Audit-Workflows; er ist keine rechtliche Bescheinigung und keine Audit-Zertifizierung. Diese Dokumentation ist kein Rechtsgutachten; konsultieren Sie Ihre eigenen Compliance- und Rechtsberater.

Siehe auch

• Evidence — den Trail versiegeln und mit Zeitstempel versehen.
• Validation — strukturelle Policy-Prüfungen.
• Core AST — das AST-Modell.
• AST-Audit-Trail — Deep Reference — Interna des dauerhaften Speichers und die vollständige öffentliche API-Oberfläche.