Merge pull request #4244 from 1c-syntax/claude/spring-boot-debug-guard-ovygse

fix(cli): guard against accidental Spring Boot debug mode

Author: nixel2007

src/main/java/com/github/_1c_syntax/bsl/languageserver/MainApplication.java

@@ -47,6 +47,7 @@
 import java.util.List;
 import java.util.Set;
 import java.util.concurrent.Callable;
+import java.util.function.Predicate;
 import java.util.regex.Pattern;
 
 import static picocli.CommandLine.Command;
@@ -84,6 +85,23 @@ public class MainApplication implements Callable<Integer>, ExitCodeGenerator {
 
   private static final String DEFAULT_COMMAND = "lsp";
 
+  /**
+   * Опция осознанного включения отладочного режима Spring Boot.
+   * <p>
+   * Без неё любой запрос на отладку — флаги {@code --debug}/{@code --trace} или переменные среды
+   * {@code DEBUG}/{@code TRACE} (Spring привязывает их к свойствам {@code debug}/{@code trace}
+   * по relaxed binding) — игнорируется: см. {@link #guardSpringDebugMode(String[])}.
+   */
+  static final String ENABLE_DEBUG_OPTION = "--enable-debug-i-know-what-i-am-doing";
+
+  /** {@link #ENABLE_DEBUG_OPTION} с необязательным значением; группа 1 — значение ({@code null}, если его нет). */
+  private static final Pattern ENABLE_DEBUG_OPTION_PATTERN =
+    CaseInsensitivePattern.compile(Pattern.quote(ENABLE_DEBUG_OPTION) + "(?:=(.*))?");
+
+  /** Отладочные флаги Spring Boot: {@code --debug}/{@code --trace} с необязательным {@code =value}. */
+  private static final Pattern DEBUG_TRACE_FLAG_PATTERN =
+    CaseInsensitivePattern.compile("--(?:debug|trace)(?:=.*)?");
+
   @Option(
     names = {"-h", "--help"},
     usageHelp = true,
@@ -107,14 +125,16 @@ public class MainApplication implements Callable<Integer>, ExitCodeGenerator {
     CaseInsensitivePattern.compile("--server\\..*"),
     // Опции команды по умолчанию (lsp), допустимые без явного указания команды: `--mcp`, `--mcp-path`.
     CaseInsensitivePattern.compile("--mcp(-path)?(=.*)?"),
-    CaseInsensitivePattern.compile("--debug")
+    DEBUG_TRACE_FLAG_PATTERN,
+    ENABLE_DEBUG_OPTION_PATTERN
   );
 
   private final CommandLine.IFactory picocliFactory;
 
   private int exitCode;
 
   public static void main(String[] args) {
+    args = guardSpringDebugMode(args);
     applyMcpEndpointPath(args);
 
     var applicationContext = new SpringApplicationBuilder(MainApplication.class)
@@ -253,6 +273,58 @@ private static boolean isMcpSubcommandOverHttp(String[] args) {
     return protocol.equals("sse") || protocol.equals("streamable");
   }
 
+  /**
+   * Защита от случайного включения отладочного режима Spring Boot.
+   * <p>
+   * Отладка ({@code --debug}/{@code --trace}, свойства {@code debug}/{@code trace} или переменные
+   * среды {@code DEBUG}/{@code TRACE}) включает объёмный лог core-логгеров и отчёт об
+   * автоконфигурации. Для LSP по stdio это особенно опасно: посторонний вывод способен замусорить
+   * канал протокола. При этом {@code DEBUG} — распространённое имя переменной среды, её легко
+   * выставить в окружении случайно, а переименовать/отключить ключ на уровне Spring Boot нельзя.
+   * <p>
+   * Поэтому при явной передаче {@link #ENABLE_DEBUG_OPTION} аргументы отдаются как есть. Иначе
+   * отладка гасится до старта контекста: свойства {@code debug}/{@code trace} принудительно
+   * выставляются в {@code false} (системное свойство приоритетнее переменной среды, поэтому случайно
+   * заданный {@code DEBUG}/{@code TRACE} тоже не сработает), а флаги {@code --debug}/{@code --trace}
+   * убираются из аргументов.
+   *
+   * @param args исходные аргументы командной строки
+   * @return исходные аргументы при осознанном включении; иначе — аргументы без флагов
+   *   {@code --debug}/{@code --trace}
+   */
+  static String[] guardSpringDebugMode(String[] args) {
+    if (hasDebugOptIn(args)) {
+      // Пользователь осознанно включил отладку — аргументы не трогаем.
+      return args;
+    }
+
+    System.setProperty("debug", "false");
+    System.setProperty("trace", "false");
+
+    var cleaned = removeArgs(args, arg -> DEBUG_TRACE_FLAG_PATTERN.matcher(arg).matches());
+    if (cleaned.length != args.length) {
+      System.err.println(
+        "Ignoring --debug/--trace: verbose Spring Boot debug logging can corrupt the LSP stdout "
+          + "channel. Pass " + ENABLE_DEBUG_OPTION + "=true to enable it intentionally.");
+    }
+    return cleaned;
+  }
+
+  private static boolean hasDebugOptIn(String[] args) {
+    for (var arg : args) {
+      var matcher = ENABLE_DEBUG_OPTION_PATTERN.matcher(arg);
+      // Голый флаг (значение null) и =true включают отладку; =false — нет.
+      if (matcher.matches() && !"false".equalsIgnoreCase(matcher.group(1))) {
+        return true;
+      }
+    }
+    return false;
+  }
+
+  private static String[] removeArgs(String[] args, Predicate<String> drop) {
+    return Arrays.stream(args).filter(drop.negate()).toArray(String[]::new);
+  }
+
   /**
    * Перенести значение {@code --mcp-path} в системное свойство до старта контекста:
    * эндпоинт Streamable HTTP регистрируется автоконфигурацией на refresh, раньше выполнения команды.

src/test/java/com/github/_1c_syntax/bsl/languageserver/MainApplicationModeTest.java

@@ -64,6 +64,91 @@ void webApplicationTypePerMode() {
       .isEqualTo(WebApplicationType.SERVLET);
   }
 
+  @Test
+  void debugFlagsStrippedWithoutOptIn() {
+    System.clearProperty("debug");
+    System.clearProperty("trace");
+    try {
+      var result = MainApplication.guardSpringDebugMode(new String[]{"analyze", "--debug", "--trace"});
+
+      assertThat(result).containsExactly("analyze");
+      assertThat(System.getProperty("debug")).isEqualTo("false");
+      assertThat(System.getProperty("trace")).isEqualTo("false");
+    } finally {
+      System.clearProperty("debug");
+      System.clearProperty("trace");
+    }
+  }
+
+  @Test
+  void debugFlagsKeptWithOptIn() {
+    System.clearProperty("debug");
+    System.clearProperty("trace");
+    try {
+      var result = MainApplication.guardSpringDebugMode(
+        new String[]{"analyze", "--debug", MainApplication.ENABLE_DEBUG_OPTION + "=true"});
+
+      // При осознанном включении аргументы отдаются как есть, свойства не трогаются.
+      assertThat(result)
+        .containsExactly("analyze", "--debug", MainApplication.ENABLE_DEBUG_OPTION + "=true");
+      assertThat(System.getProperty("debug")).isNull();
+    } finally {
+      System.clearProperty("debug");
+      System.clearProperty("trace");
+    }
+  }
+
+  @Test
+  void optInWithFalseValueDoesNotEnableDebug() {
+    System.clearProperty("debug");
+    System.clearProperty("trace");
+    try {
+      var result = MainApplication.guardSpringDebugMode(
+        new String[]{"--debug", MainApplication.ENABLE_DEBUG_OPTION + "=false"});
+
+      // =false не включает отладку: флаг --debug снят, свойство debug принудительно false.
+      assertThat(result).containsExactly(MainApplication.ENABLE_DEBUG_OPTION + "=false");
+      assertThat(System.getProperty("debug")).isEqualTo("false");
+    } finally {
+      System.clearProperty("debug");
+      System.clearProperty("trace");
+    }
+  }
+
+  @Test
+  void nonDebugArgsPassThroughWithDebugForcedOff() {
+    System.clearProperty("debug");
+    System.clearProperty("trace");
+    try {
+      var result = MainApplication.guardSpringDebugMode(new String[]{"analyze", "--srcDir", "."});
+
+      // Обычные аргументы не меняются, но без опт-ина отладка всё равно гасится.
+      assertThat(result).containsExactly("analyze", "--srcDir", ".");
+      assertThat(System.getProperty("debug")).isEqualTo("false");
+      assertThat(System.getProperty("trace")).isEqualTo("false");
+    } finally {
+      System.clearProperty("debug");
+      System.clearProperty("trace");
+    }
+  }
+
+  @Test
+  void debugFromSystemPropertyForcedOff() {
+    // Запрос на отладку без флага командной строки — через свойство debug (как relaxed-binding DEBUG).
+    System.clearProperty("debug");
+    System.clearProperty("trace");
+    try {
+      System.setProperty("debug", "true");
+      var result = MainApplication.guardSpringDebugMode(new String[]{"analyze"});
+
+      assertThat(result).containsExactly("analyze");
+      assertThat(System.getProperty("debug")).isEqualTo("false");
+    } finally {
+      System.clearProperty("debug");
+      System.clearProperty("trace");
+    }
+  }
+
   @Test
   void mcpEndpointPathAppliedOnlyForMcpHttp() {
     System.clearProperty(MCP_ENDPOINT_PROPERTY);

src/test/java/com/github/_1c_syntax/bsl/languageserver/architecture/ArchitectureTest.java

@@ -110,15 +110,18 @@ class ArchitectureTest {
   // --- Стандартные потоки -------------------------------------------------------------------------
   // Никто не пишет в стандартные потоки stdout и stderr. Исключения — лишь места, где стандартный
   // поток нужен по протоколу или природе процесса. Это транспорт LSP в классе
-  // LanguageServerLauncherConfiguration, транспорт MCP по stdio в классе McpStdioConfiguration и
+  // LanguageServerLauncherConfiguration, транспорт MCP по stdio в классе McpStdioConfiguration,
   // аварийный fallback в классе ParentProcessWatcher на завершении процесса, когда логгер уже
-  // недоступен. Новый класс с такой потребностью добавляется в список исключений осознанно, через ревью.
+  // недоступен, и гвард отладочного режима в MainApplication, срабатывающий в main() ещё до
+  // конфигурации логирования (в stderr, чтобы не задеть stdout-канал LSP). Новый класс с такой
+  // потребностью добавляется в список исключений осознанно, через ревью.
 
   @ArchTest
   static final ArchRule no_classes_should_access_standard_streams = noClasses()
     .that().doNotHaveFullyQualifiedName(ROOT_PACKAGE + ".cli.lsp.LanguageServerLauncherConfiguration")
     .and().doNotHaveFullyQualifiedName(ROOT_PACKAGE + ".mcp.McpStdioConfiguration")
     .and().doNotHaveFullyQualifiedName(ROOT_PACKAGE + ".lsp.ParentProcessWatcher")
+    .and().doNotHaveFullyQualifiedName(ROOT_PACKAGE + ".MainApplication")
     .should(ACCESS_STANDARD_STREAMS)
     .because("вывод в стандартные потоки допустим только в транспортных точках и аварийном "
       + "fallback из списка выше; остальной код пишет через slf4j");