Built-in object storage SDK pro user appky generované TalkIDE platformou. Každý projekt dostane vlastní Cloudflare R2 bucket s per-tenant scoped tokenem a in-namespace storage gateway (Spring Boot mikroservis), který Mara/scaffold automaticky nasadí — user appka nikdy nevidí cloud credentials.

Overview

TalkIDE poskytuje user appkám (scaffold-generated Kotlin Spring Boot) hotový storage SDK (talkide-storage-sdk) + per-namespace storage gateway (talkide-storage-svc). Storage gateway překládá vysokoúrovňové operace user appky (upload, download, list, delete) na Cloudflare R2 (S3-compatible API) volání pomocí scoped per-bucket tokenu.

Architecture summary:

User Browser
     │ presigned PUT/GET (direct data path)
     ▼
┌──────────────────────────────────────────────┐
│ Cloudflare R2 (per-project bucket)           │
│   talkide-app-{tenantSlug}-{projectSlug}     │
└──────────────────────────────────────────────┘
     ▲
     │ S3 SDK (scoped token z K8s Secret)
     │
┌──────────────────────────────────────────────┐
│ Namespace: {tenant-slug}-{env-slug}          │
│                                              │
│  ┌────────────┐    in-ns HTTP    ┌────────┐  │
│  │ user-app   │ ───────────────► │storage │  │
│  │ (Spring)   │  TALKIDE_APP_   │  -svc  │  │
│  │            │   STORAGE_TOKEN │(Spring)│  │
│  └────────────┘                  └────────┘  │
└──────────────────────────────────────────────┘
     ▲
     │ provisioning at Create Project
     │
┌──────────────────────────────────────────────┐
│ Platform talkide-be (control-plane)          │
│   K8sStorageProvisioner                      │
│     1. Cloudflare API → create bucket        │
│     2. Cloudflare API → create scoped token  │
│     3. K8s Secret create v tenant-env ns     │
│     4. Helm template apply storage-svc       │
│     5. zápis do app_storage_config (cluster A)│
└──────────────────────────────────────────────┘

Klíčové principy:

• Storage provider: Cloudflare R2 (S3-compatible API, free egress, soft cap 1000 buckets/account).
• Per-tenant bucket: 1 bucket per projekt, naming talkide-app-{tenantSlug}-{projectSlug} (RFC 1123 compliant — viz UC-12001).
• Per-tenant API token: Cloudflare scoped token (read+write pouze na svůj bucket), uložený v K8s Secret storage-creds v tenant-env namespace.
• Per-namespace storage gateway: Spring Boot mikroservis (talkide-storage-svc) deploynutý v každém tenant-env namespace. Pattern parity s ADR-024 worker.
• User app ↔ storage-svc autentikace: shared secret TALKIDE_APP_STORAGE_TOKEN (HMAC, in-namespace only, K8s NetworkPolicy zabraňuje cross-ns).
• Platform credentials nikdy v user app podu: všechny R2 credentials drží buď platform talkide-be (master Cloudflare API token) nebo storage-svc (per-bucket scoped token). User app vidí jen storage-svc URL + HMAC token.
• Data tok: přímý browser ↔ R2 přes presigned URL; storage-svc i platform BE se neúčastní samotného přenosu bajtů.
• Architecture parity: viz ADR-027 (Per-namespace Storage Gateway), který formalizuje pattern shodný s ADR-024 (worker per ns).

DB Schema changes (cluster A — control-plane)

Nová tabulka v platform control-plane PG. Production phase = forward-only migration, nový changeset file (číslo doplnit při implementaci — aktuálně cca 0053, vždy ověř podle talkide-be/src/main/resources/db/changelog/changes/).

UC Index

Open Decisions (LOCKED for MVP)

Security Model

Lifecycle: Project deletion

Když je projekt smazán (UC-03007), platform talkide-be musí v K8sStorageProvisioner.deprovision():

1. Smazat všechny objekty v bucketu (R2 batch delete, max 1000 keys/request, opakovat dokud bucket není prázdný).
2. Smazat bucket (R2 DELETE bucket).
3. Revokovat scoped token (Cloudflare API).
4. Smazat K8s Secret storage-creds v tenant-env ns.
5. Smazat storage-svc Deployment + Service + NetworkPolicy (helm template uninstall).
6. Smazat řádek app_storage_config.

Failures v krocích 1–5 jsou logované a alertované, ale neblokují DB cascade (consistent s pattern v K8sWorkerProvisioner.deprovision — best-effort cleanup, manuální runbook při drift). Viz be#120 (tenant deprovision lifecycle).

References

• ADR-027: Per-namespace Storage Gateway (pattern parity s ADR-024). Soubor: adr/ADR-027-per-namespace-storage-gateway.md.
• ADR-023: Shared dataplane DB schema-per-app (analogická izolační filozofie).
• ADR-024: Workspace runtime worker extraction (pattern parity pro per-ns mikroservis topology + samostatné repo pro per-ns komponentu).
• GitLab repo talkide/talkide-storage-svc: samostatný git repo s Gradle multi-module setupem — modul :service (Spring Boot mikroservis → image registry.digitalocean.com/talkide/talkide-storage-svc:{tag}) + modul :sdk (Kotlin lib app.talkide:talkide-storage-sdk publishovaný do GitLab Package Registry). Viz ADR-027 sekce “talkide-storage-svc” a UC-12005 sekce “SDK source structure”.
• GitLab repo talkide/talkide-infra: Helm chart charts/storage-svc/ aplikovaný K8sStorageProvisionerem (deploy manifesty NEžijí v talkide-storage-svc repu).
• CLAUDE.md sekce “Storage strategy” — overall TalkIDE storage design (pozn.: před tímto UC zmiňovala DO Spaces; po pivotu na R2 bude updated v rámci implementace).
• GitLab tracking: be#150.