fix(serverust-events): silent Kafka ack loss and SQS DLQ redelivery loop

[cursor]

Summary

Weekly critical-bug scan found three high-severity correctness issues in serverust-events (beyond the already-merged SQS silent-ack and backoff panic fixes).

Bugs fixed

1. EventRouter DLQ + Lambda SQS — infinite redelivery

Impact: After retries exhaust and DLQ publish succeeds, wrap_with_retry still returned Err, so SqsBroker reported batchItemFailures and Lambda never deleted the source message — poison-message loop with duplicate DLQ writes.

Root cause: DlqLayer returns Ok(()) after successful DLQ routing; EventRouter did not.

Fix: Return Ok(()) when broker.publish(dlq_topic, …) succeeds.

2. LambdaBroker — silent Kafka message loss

Impact: Records whose topic had no subscribed handler were skipped while the invocation returned Ok(()), causing Lambda to commit offsets without processing.

Root cause: continue on empty handler list (pre-#12 SQS analogue).

Fix: Return BrokerError::Subscribe when no handler is registered for the record topic.

3. KafkaBroker::dispatch — silent no-op

Impact: Same class as (2) for long-running consumers that commit offset on Ok(()).

Fix: Return error when no handlers match msg.topic.

Validation

• cargo test -p serverust-events --features sqs --test sqs_consumer --test lambda_broker
• cargo test -p serverust-events --features "sqs in-memory" --test retry_policy

Not fixed (lower confidence / larger change)

• subscribe_publish + with_retry re-runs user handler when only publish fails (duplicate side effects) — needs publish-only retry split.

Changelog

Updated [Unreleased] with the three fixes.

  

[JaimeJunr]

Revisado e ajustado. O bug 1 (loop de redelivery na DLQ) era correção pura e ficou como estava. Os bugs 2 e 3 foram reescritos como política configurável, porque o comportamento que o PR removia não era acidental — ignorar record de tópico sem handler estava documentado no doc comment e coberto por teste em broker/lambda.rs e tests/lambda_broker.rs. Trocar por erro duro quebraria quem usa subscription por padrão ou fan-out, e viraria poison-loop num consumer long-running.

Mudanças

UnhandledTopicPolicy (serverust-events/src/broker/mod.rs):

• WarnAndIgnore — default, preserva o comportamento 0.3.x. Ganho real mesmo no default: o skip era totalmente silencioso, agora emite tracing::warn! com o tópico.
• Error — o comportamento que o PR propunha, agora opt-in via with_unhandled_topic_policy(...). A mensagem cita o tópico recebido e a lista de tópicos com handler registrado.

Aplicado em LambdaBroker e KafkaBroker::dispatch, com os doc comments atualizados. Os testes que documentavam o skip voltaram e seguem verdes no default; os testes de erro agora configuram Error explicitamente.

Lacuna do bug 1 fechada: quando o publish na DLQ falha, o erro ia só pra eprintln!. Virou tracing::error! com os dois erros no contexto (handler + DLQ), mais teste cobrindo o caminho.

Nota de dependência: tracing deixou de ser opcional em serverust-events (era só sob a feature sqs) — a policy e o log da DLQ rodam em código sem sqs. Registrado no CHANGELOG.

Validação local (por crate, serial):

cargo test -p serverust-events --features sqs --test lambda_broker --test sqs_consumer  →  6 + 15 ok
cargo test -p serverust-events --features "sqs in-memory" --test retry_policy          →  8 ok
cargo clippy -p serverust-events --features sqs --all-targets -- -D warnings           →  limpo
cargo fmt --check                                                                       →  ok
cargo tree -p serverust-core | grep -c kafka\|event  →  0   (invariante preservada)
cargo tree -p hello-world  | grep -c kafka\|dynamo   →  0   (invariante preservada)

⚠️ Não validado: --test kafka_broker_dispatch exige --features kafka, e librdkafka não compila nesta máquina (falta curl/curl.h — libcurl headers ausentes no sistema). O caminho KafkaBroker::dispatch foi revisado por código, não executado. Precisa de CI ou de uma máquina com as headers antes do merge.

🤖 Generated with Claude Code

[claude]

Claude encountered an error —— View job

---

I'll analyze this and get back to you.

[Copilot]

Copilot was unable to review this pull request because the user who requested the review has reached their quota limit.

[claude]

Claude encountered an error —— View job

---

I'll analyze this and get back to you.