E-SURAT PARIPURNA 3.4 BEST OF BOTH — LAPORAN VERIFIKASI RELEASE
================================================================

Tanggal verifikasi: 2026-08-08

HASIL
-----
[PASS] PHP syntax lint seluruh file PHP: 54 file.
[PASS] tools/static_audit.php.
[PASS] Pemeriksaan routing action baru: save-service-requirement, cancel-service-request, service-requirements.
[PASS] Pemeriksaan role: verifikator dan admin_instansi terdaftar.
[PASS] Pemeriksaan isolasi Repository: pemohon menggunakan requester_user_id; admin_instansi menggunakan institution_id.
[PASS] Release hygiene: file .env tidak disertakan.
[PASS] Release hygiene: tidak ada dump .sql.gz/.dump/.bak produksi yang dibawa.
[PASS] Launcher install Windows dan Linux tersedia.
[PASS] Dokumentasi fresh install dan upgrade tersedia.

KONTROL YANG DIPERTAHANKAN DARI 3.3
-----------------------------------
- MFA TOTP / recovery code.
- Session hardening, CSRF, recent-MFA.
- Object-level authorization dan ACL surat Rahasia.
- Quarantine + validation + ClamAV + quota upload.
- AES-256-GCM encryption-at-rest dan checksum SHA-256.
- Secure download, rate limiting, audit.
- Hash-chained/HMAC audit dan append-only database trigger.
- Production fail-closed dan public/ mandatory webroot.

FITUR 3.2 YANG DIKEMBALIKAN / DISEMPURNAKAN
-------------------------------------------
- Role verifikator dan admin_instansi.
- Structured service requirements.
- Requirement-specific attachment.
- Institution metadata (type/email/phone/address).
- Service output type.
- Optional incoming/outgoing letter links.
- Cancel service request + history/audit.
- Pemohon dibatasi ke pengajuan miliknya sendiri.

BATAS PENGUJIAN DI LINGKUNGAN BUILD
-----------------------------------
Tidak tersedia server MySQL/MariaDB production yang terhubung pada lingkungan build ini, sehingga migration/runtime DB dan browser end-to-end tidak dieksekusi terhadap database nyata. Karena itu sebelum production tetap wajib menjalankan:

  php tools/preflight.php --db
  php tools/static_audit.php

serta staging migration rehearsal, login/MFA test, ACL/IDOR test, upload/download test, dan restore backup test sesuai DEPLOYMENT_CHECKLIST.md.
