PII-servis — qidiriladigan shifrlash

• Bu nima: shaxsiy ma'lumotlarni (PII) xavfsiz boshqarish servisi — identifikatsiyani (Keycloak) shaxsiy ma'lumotlardan ajratadi, ularni maydon darajasida shifrlab saqlaydi, shifrlangan maydonlar ustidan qidiruvni (blind index) qo'llab-quvvatlaydi, barcha operatsiyalarni auditdan o'tkazadi, ko'p-tenantli B2B/B2C/partner/internal, GDPR va Saudi PDPL muvofiqligi. Bu Healthcare platform'ning haqiqiy PII servisi (bo'sh #46 pii-service — bu stub; kod aynan shu yerda joylashgan).
• Turi / holati / roli: api (mikroservis) · faol (oxirgi kommit 2026-02-13) · solo (91 kommitdan 91 tasi foydalanuvchi tomonidan; Harsh Manwani 2 ta — tashqi yordam).
• Faollik davri: 2025-08-30 → 2026-02-13 (~5.5 oy), v1.0.50.

• Tillar: TypeScript (strict).
• Freymvork/kutubxonalar: Bun 1.2.21 (runtime, prod'da clustering); Elysia.js (tipli, OpenAPI/Swagger); Drizzle ORM + PostgreSQL 15+ (18 migratsiya); HashiCorp Vault (node-vault — maydon darajasida shifrlash + kalit rotatsiyasi uchun Transit engine); Keycloak (@keycloak/keycloak-admin-client, keycloak-connect — 4 realm); BullMQ + ioredis (navbatlar); OpenTelemetry (@elysiajs/opentelemetry + OTLP exporter — tracing); jose (JWT); Zod v4. Monorepo workspace'lar: @regain/crypto, @regain/auth-provider (umumiy paketlar).
• Infra/deploy: 4 ta Dockerfile (main / dev / migrate / queue), docker-compose; GitLab CI + GitHub Actions; husky pre-commit (drizzle generate + migratsiyalarni qo'shish + bun test).
• Ma'lumotlar: PostgreSQL (Drizzle), Redis (BullMQ), Vault (kalitlar/shifrlash).
• E'tiborga molik tooling: boy AI tooling — .claude/, .kombai/, .qoder/, AGENTS.md; OpenTelemetry observability; vault skriptlari (init/status/test/key-rotation).

~5.5 oy davomida 91 ta solo yozilgan kommit. Struktura bo'yicha (src/services/) — keng qamrovli quyi tizimlar to'plami (har biri alohida modul): encryption, indexing, security, authorization, auth, otp, verification, audit, rate-limiter, cache, sms, notification, integration. API src/modules/v1/ ichida (patients, consent, gdpr, admin), middleware (auth + audit), queue (jobs + processors). 18 ta Drizzle migratsiyasi. Bosqichma-bosqich reja asosida ishlab chiqilgan (docs/pii_service_development_plan.md — 10 bosqich / 16 hafta).

CLAUDE.md + kod strukturasi bo'yicha (solo mualliflik):

• Uch pog'onali shifrlash (src/services/encryption, indexing): (1) Vault orqali Transit shifrlash (AES-256-GCM, kalitlar hech qachon Vault'dan chiqmaydi); (2) HMAC-SHA256 bilan blind indexing — shifrlangan maydonlar ustidan deshifrlashsiz qidiruv; (3) kalitlarni avtomatik rotatsiya qilish (src/scripts/key-rotation.ts). → Kuchli xavfsizlik injiniringi: searchable encryption arzimas bo'lmagan pattern.
• Identity ↔ PII ajratilishi: Keycloak akkauntlarni ushlaydi, PII servisi shaxsiy ma'lumotlarni; deshifrlashdan oldin maydon darajasida access control, majburiy access audit, PII faqat tranzaksiyalar ichida ishlanadi, loglarda ochiq PII yo'q. → Asosli privacy/muvofiqlik modeli (GDPR, Saudi PDPL).
• Ko'p-realmli Keycloak autentifikatsiyasi (4 realm: B2B klinikalar, B2C bemorlar, partner-api service account, internal-service). → Murakkab ko'p-tenantli avtorizatsiya.
• Production darajasidagi wiring: clustering (Bun'da ko'p-yadroli ish uchun Node cluster), BullMQ navbatlar (alohida Dockerfile.queue + worker), OpenTelemetry tracing, rate-limiter, SMS/OTP/verification servislari, alohida migrate konteyner. → To'liq production konturi.
• Umumiy crypto monorepo (@regain/crypto, @regain/auth-provider) — Healthcare platform/regain servislari bo'ylab qayta ishlatiladigan xavfsizlik paketlari.

• Topilgan sessiyalar: katalog lokal Claude Code sessiyalar omborida mavjud, ammo 0 ta .jsonl transkript saqlaydi (ehtimol tozalangan/ko'chirilgan). Yozib olingan sessiyalar yo'q, biroq AI yordamidagi ishlab chiqish faol bo'lgan: repozitoriyada .claude/, .kombai/, .qoder/, AGENTS.md.
• AI bilan nima qilingan: tooling asosida — jiddiy AI yordami; docs'da bosqichma-bosqich ishlab chiqish rejasi.
• AI vorkflow patternlari: ko'p-vositali (Claude Code + Kombai + Qoder), AGENTS.md, hujjatga yo'naltirilgan ishlab chiqish (10 bosqichli reja).

• v1.0.50; ~20 ta service moduli, 4 ta Keycloak realm, 18 ta migratsiya, 4 ta Docker target, ikkilangan CI.
• Tibbiy platforma uchun haqiqiy, xavfsizlikka sezgir production servisi (bemor PII'si) GDPR/PDPL muvofiqligi bilan.