Gate NVD collection imports through Rust

Author: ewilhelm1979-netizen

README.md

@@ -185,6 +185,7 @@ python3 manage.py import_cve_context_csv <tenant-slug> /pfad/zu/cve_context.csv
 
 Ab V23.5 ist der Vulnerability-Import standardmäßig auf **Rust-only-Normalisierung** gestellt (`VULN_INTEL_RUST_ONLY=True`).
 Wenn `RUST_BACKEND_URL` fehlt, brechen CVE-Upserts absichtlich mit Fehler ab, um Mischbetrieb zu vermeiden.
+NVD-Collection-Imports laufen im Rust-only-Modus nicht mehr über den Python-Service; die Django-Commands `import_nvd_cves` und `sync_nvd_recent` sind Kompatibilitäts-Wrapper um die Rust-CLI.
 Außerdem ist der Cutover-Default jetzt `RUST_STRICT_MODE=True`, damit Risk-/Guidance-/Report-Pfade ohne Rust-Backend nicht still auf Legacy-Fallbacks zurückfallen.
 
 Direkte NVD-Collection-Imports koennen optional mit `--cve-tag`, `--cpe-name`, `--last-mod-start-date` und `--last-mod-end-date` gefiltert werden.

apps/vulnerability_intelligence/services.py

@@ -173,6 +173,12 @@ def upsert_cve(cve_id: str, *, assume_normalized: bool = False):
 
     @staticmethod
     def import_cve_collection(*, cve_tag='', cpe_name='', has_kev=False, last_mod_start='', last_mod_end='', results_per_page=2000, max_pages=1, request_delay_seconds=0.6):
+        if bool(getattr(settings, 'VULN_INTEL_RUST_ONLY', True)):
+            raise RuntimeError(
+                'Python-NVD-Collection-Import ist im Rust-only-Modus deaktiviert. '
+                'Verwenden Sie die Management-Commands import_nvd_cves oder sync_nvd_recent; '
+                'sie orchestrieren den Rust-Primärpfad.'
+            )
         start_index = 0
         imported = 0
         seen = 0

apps/vulnerability_intelligence/tests.py

@@ -22,6 +22,7 @@
 
 
 class NVDServiceTests(TestCase):
+    @override_settings(VULN_INTEL_RUST_ONLY=False)
     def test_import_cve_collection_upserts_records(self):
         payload = {
             'totalResults': 1,
@@ -52,6 +53,10 @@ def test_import_cve_collection_upserts_records(self):
         self.assertEqual(result['imported_records'], 1)
         self.assertEqual(CVERecord.objects.filter(cve_id='CVE-2026-0001').count(), 1)
 
+    def test_import_cve_collection_rejects_python_path_when_rust_only_enabled(self):
+        with self.assertRaisesRegex(RuntimeError, 'Python-NVD-Collection-Import'):
+            NVDService.import_cve_collection(results_per_page=1, max_pages=1)
+
     def test_request_payload_retries_on_http_429(self):
         query = {'cveId': 'CVE-2026-0002'}
         response_mock = Mock()
@@ -313,6 +318,56 @@ def test_import_via_rust_delegates_to_rust_cli(self):
             mocked.assert_called_once()
 
 
+class RustPrimaryCollectionCommandTests(TestCase):
+    def test_import_nvd_cves_delegates_collection_import_to_rust_cli(self):
+        with patch(
+            'apps.vulnerability_intelligence.management.commands.import_nvd_cves.run_rust_canary',
+            return_value='{"seen_records":1,"imported_records":1}',
+        ) as mocked:
+            call_command(
+                'import_nvd_cves',
+                '--results-per-page=10',
+                '--max-pages=2',
+                '--has-kev',
+                '--skip-healthcheck',
+            )
+
+        mocked.assert_called_once_with(
+            subcommand='import-collection',
+            args=[
+                '--results-per-page', '10',
+                '--max-pages', '2',
+                '--has-kev',
+                '--skip-healthcheck',
+            ],
+        )
+
+    def test_sync_nvd_recent_delegates_recent_sync_to_rust_cli(self):
+        with patch(
+            'apps.vulnerability_intelligence.management.commands.sync_nvd_recent.run_rust_canary',
+            return_value='{"seen_records":1,"imported_records":1}',
+        ) as mocked:
+            call_command(
+                'sync_nvd_recent',
+                '--hours=6',
+                '--results-per-page=25',
+                '--max-pages=3',
+                '--cve-tag=disputed',
+                '--skip-healthcheck',
+            )
+
+        mocked.assert_called_once_with(
+            subcommand='sync-recent',
+            args=[
+                '--hours', '6',
+                '--results-per-page', '25',
+                '--max-pages', '3',
+                '--cve-tag', 'disputed',
+                '--skip-healthcheck',
+            ],
+        )
+
+
 class CanaryParityReportTests(TestCase):
     @override_settings(RUST_BACKEND_URL='http://rust-backend:9000')
     def test_report_command_delegates_to_rust_cli(self):

docs/RUST_ABLOESE_CHECKLISTE.md

@@ -13,10 +13,11 @@ Komplette Ablösung der CVE-Normalisierungspfade in der Vulnerability-Intelligen
 - [x] **README auf Rust-only Betrieb aktualisiert**.
 - [x] **Regression-Tests ergänzt/angepasst** (Rust-only Verhalten und Legacy-Command).
 - [x] **Versionierter Rust-Normalisierungsvertrag eingeführt** (`/api/v1/nvd/normalize` mit `api_version` und stabilen Fehlercodes wie `invalid_cve_id`).
+- [x] **Python-Collection-Import im Rust-only-Modus gesperrt**; `import_nvd_cves` und `sync_nvd_recent` orchestrieren den Rust-Primärpfad über die Rust-CLI.
 
 ## Verbleibende Ablösearbeiten
 - [ ] CVE-Normalisierung vollständig als produktiven Rust-Primärpfad konsolidieren (inkl. Monitoring, Betriebsdoku und finaler Entfernung des Python-Kompatibilitätsendpunkts).
-- [ ] NVD-Collection-Import logikseitig als Rust-Primärpfad bereitstellen und Django auf orchestrierende Rolle begrenzen.
+- [ ] NVD-Collection-Import in Rust um Persistenz-/DB-Schreibpfad erweitern, damit Django nicht mehr für CVE-Upserts benötigt wird.
 - [ ] Parity-Reports als optionales Audit-Feature markieren (nicht als Betriebsnotwendigkeit).
 - [ ] Betriebsdoku für Stage/Prod um verpflichtende Rust-Health-SLOs und Alerting ergänzen.
 - [ ] CI-Policy: Fail, wenn `VULN_INTEL_RUST_ONLY=True` und rust-backend Integrationstests nicht grün.

docs/RUST_CUTOVER_PLAN.md

@@ -24,7 +24,7 @@ Kontrollierter Wechsel von Python-Pfaden auf Rust-Pfade ohne Big-Bang-Risiko.
 
 ## Stufe 3 – Teil-Cutover
 
-- `import_nvd_cves_canary --apply-source=rust --strict` fuer Stage erzwingen
+- Rust-CLI/Wrapper (`import_nvd_cves`, `sync_nvd_recent`, `import_nvd_cves_canary`) fuer Stage mit verpflichtendem Rust-Healthcheck erzwingen
 - In Production schrittweise per Job-Kohorten aktivieren
 - Mismatch-Grenzwerte definieren (z. B. <0.5%)