Personenliste: standardmaessig nur DogFather, Rest auf Knopfdruck

Wunsch Filipe: "ich will da nur mich und vanvan sehen, ich will dass ich einen knopf habe wenn ich die anderen sehen will oder nicht." Drei Dinge, die dabei nicht schiefgehen duerfen: 1. Das ist eine ANSICHT, kein Recht. Wer eingeklappt ist, ist nicht weg -- er wird nur nicht gezeigt. Verwechselt man das, haelt man irgendwann jemanden fuer geloescht, der noch vollen Zugang hat. Der Test weist das ausdruecklich nach: Tili kann sich anmelden und normal arbeiten, waehrend sie ausgeblendet ist, und der Server liefert weiterhin ALLE sieben Personen. Gekuerzt wird nur die Anzeige -- waere es serverseitig, wuerde die naechste Auswertung stillschweigend Personen uebersehen. 2. Auf dem Knopf steht IMMER, wie viele gerade fehlen ("5 weitere zeigen · 1 gesperrt"). "Alle zeigen" allein sagt nicht, wovon man gerade nichts sieht -- und dass eine Person gesperrt ist, gehoert zu den Dingen, die man nicht uebersehen darf. 3. Der Zustand bleibt erhalten. Ein Knopf, den man nach jedem Laden neu druecken muss, ist keine Einstellung, sondern eine Zumutung. Gesperrte Personen werden beim Aufklappen ganz normal mitgezeigt -- eine gesperrte Person zu verstecken waere genau die Zeile, die man sehen muesste. 24 Pruefungen, Computer und Handy. Co-Authored-By: Claude Opus 5 <[email protected]>
2026-08-31 22:59:54 +02:00
parent e25a22149b
commit 099d9a7693
20 changed files with 360 additions and 107 deletions
@@ -0,0 +1,180 @@
+/* ===================================================================
+   Pruefung: In der Personenliste steht standardmaessig nur DogFather,
+   alle anderen kommen auf Knopfdruck dazu.
+
+   Der wichtigste Punkt ist der letzte: Verstecken ist eine ANSICHT, kein
+   Recht. Wer eingeklappt ist, hat unveraendert Zugang -- der Server darf
+   davon gar nichts mitbekommen.
+   =================================================================== */
+import { mkdtempSync, rmSync } from "node:fs";
+import { tmpdir } from "node:os";
+import { join } from "node:path";
+
+const ordner = mkdtempSync(join(tmpdir(), "ws-personen-"));
+process.env.WORKSPACE_DB = join(ordner, "workspace.db");
+process.env.PORT = "4187";
+process.env.SITE_ACCESS_SECRET = "lokaler-test";
+process.env.SITE_ACCESS_CODE_DOGI = "DOGI-TEST-1";
+process.env.SITE_ACCESS_CODE_VANVAN = "VANVAN-TEST-1";
+process.env.SITE_PUBLIC_LAUNCH_AT = "2020-01-01T00:00:00+01:00";
+
+const express = (await import("express")).default;
+const ec = express.response.cookie;
+express.response.cookie = function (n, w, o) { return ec.call(this, n, w, { ...(o || {}), secure: false }); };
+await import("./index.js");
+await new Promise((r) => setTimeout(r, 700));
+const BASIS = "http://127.0.0.1:4187";
+setTimeout(() => { console.log("ABBRUCH"); process.exit(1); }, 180_000).unref?.();
+
+let fehler = 0;
+const ok = (b, t) => { console.log((b ? "  ok   " : "  FEHL ") + t); if (!b) fehler++; };
+
+await fetch(BASIS + "/workspace/api/anmelden", {
+  method: "POST", headers: { "Content-Type": "application/json" },
+  body: JSON.stringify({ rolle: "admin", code: "x" }) }).catch(() => {});
+
+const { DatabaseSync } = await import("node:sqlite");
+const { scryptSync, randomBytes } = await import("node:crypto");
+const d = new DatabaseSync(process.env.WORKSPACE_DB);
+const jetzt = new Date().toISOString();
+function anlegen(name, rolle, code, aktiv = 1) {
+  const salt = randomBytes(16).toString("hex");
+  const hash = scryptSync(code, salt, 64, { N: 32768, r: 8, p: 1, maxmem: 96 * 1024 * 1024 }).toString("hex");
+  d.prepare("INSERT INTO personen (name, rolle, code_hash, code_salt, code_n, aktiv, erstellt) VALUES (?,?,?,?,?,?,?)")
+    .run(name, rolle, hash, salt, 32768, aktiv, jetzt);
+  return d.prepare("SELECT last_insert_rowid() AS id").get().id;
+}
+/* Genau die Aufstellung aus dem Bild vom 31.08.2026. */
+anlegen("Dogfather", "admin", "CODE-DOGI-0001");
+anlegen("VanVan", "admin", "CODE-VANV-0001");
+anlegen("BananaStift", "scout", "CODE-BANA-0001");
+anlegen("Patrick", "scout", "CODE-PATR-0001");
+anlegen("SpongBobSchwammKopf", "creator", "CODE-SPON-0001");
+anlegen("Tili", "creator", "CODE-TILI-0001");
+anlegen("BanaStift", "manager", "CODE-BSTF-0001", 0);   // gesperrt
+d.close();
+
+const { chromium } = await import(
+  "file:///C:/Users/qciga/Documents/Obelix/Analyse/node_modules/playwright/index.mjs");
+const browser = await chromium.launch();
+
+async function seiteFuer(kontext) {
+  const seite = await kontext.newPage();
+  await seite.goto(BASIS + "/workspace/", { waitUntil: "domcontentloaded" });
+  await seite.click('.rolle[data-rolle="admin"]');
+  await seite.fill("#code", "CODE-DOGI-0001");
+  await seite.click("button[type=submit]");
+  await seite.waitForURL("**/start.html", { timeout: 15000 });
+  await seite.goto(BASIS + "/workspace/personen.html", { waitUntil: "networkidle" });
+  await seite.waitForTimeout(600);
+  return seite;
+}
+
+const lesen = (seite) => seite.evaluate(() => ({
+  namen: [...document.querySelectorAll(".person__name")].map((n) => n.textContent.replace(" (du)", "")),
+  knopfDa: !document.getElementById("rest-schalter")?.hidden,
+  knopfText: document.getElementById("rest-schalter-text")?.textContent,
+  auf: document.getElementById("rest-schalter")?.getAttribute("aria-expanded"),
+  ueber: document.documentElement.scrollWidth - document.documentElement.clientWidth,
+}));
+
+const kontext = await browser.newContext({ viewport: { width: 1440, height: 1100 } });
+const konsole = [];
+const seite = await seiteFuer(kontext);
+seite.on("console", (m) => { if (m.type() === "error") konsole.push(m.text()); });
+seite.on("pageerror", (e) => konsole.push("pageerror: " + e.message));
+
+console.log("\n1) Standardmäßig nur DogFather");
+{
+  const r = await lesen(seite);
+  console.log("   sichtbar:", r.namen.join(", "));
+  console.log("   Knopf:   ", r.knopfText);
+  ok(r.namen.length === 2, `zwei Personen sichtbar (${r.namen.length})`);
+  ok(r.namen.includes("Dogfather") && r.namen.includes("VanVan"),
+     `Dogfather und VanVan (${r.namen.join(", ")})`);
+  ok(!r.namen.includes("Tili"), "kein Creator");
+  ok(!r.namen.includes("Patrick"), "kein Scout");
+  ok(r.knopfDa, "der Knopf ist da");
+  /* Die ZAHL gehoert auf den Knopf -- "Alle zeigen" sagt nicht, wie
+     viele man gerade nicht sieht. */
+  ok(/5 weitere zeigen/.test(r.knopfText || ""), `mit der Anzahl (${r.knopfText})`);
+  ok(/1 gesperrt/.test(r.knopfText || ""), "und dem Hinweis auf die gesperrte Person");
+  ok(r.auf === "false", `aria-expanded=false (${r.auf})`);
+}
+
+console.log("\n2) Auf Knopfdruck kommen alle dazu");
+{
+  await seite.click("#rest-schalter");
+  await seite.waitForTimeout(250);
+  const r = await lesen(seite);
+  console.log("   sichtbar:", r.namen.join(", "));
+  ok(r.namen.length === 7, `alle sieben (${r.namen.length})`);
+  ok(r.namen.includes("BanaStift"), "auch die gesperrte Person");
+  ok(/Nur DogFather zeigen/.test(r.knopfText || ""), `Knopf bietet das Zuklappen an (${r.knopfText})`);
+  ok(r.auf === "true", `aria-expanded=true (${r.auf})`);
+  ok(r.ueber <= 0, `nichts steht über (${r.ueber}px)`);
+}
+
+console.log("\n3) Der Zustand überlebt das Neuladen");
+{
+  /* Ein Knopf, den man nach jedem Laden neu druecken muss, ist keine
+     Einstellung, sondern eine Zumutung. */
+  await seite.reload({ waitUntil: "networkidle" });
+  await seite.waitForTimeout(600);
+  const r = await lesen(seite);
+  ok(r.namen.length === 7, `nach dem Neuladen weiterhin alle (${r.namen.length})`);
+
+  await seite.click("#rest-schalter");
+  await seite.waitForTimeout(250);
+  await seite.reload({ waitUntil: "networkidle" });
+  await seite.waitForTimeout(600);
+  const z = await lesen(seite);
+  ok(z.namen.length === 2, `und zugeklappt bleibt zugeklappt (${z.namen.length})`);
+}
+
+console.log("\n4) Verstecken ist eine Ansicht, kein Recht");
+{
+  /* Der springende Punkt. Wer eingeklappt ist, muss unveraendert
+     arbeiten koennen -- sonst waere aus einer Anzeigeeinstellung
+     versehentlich eine Sperre geworden. */
+  const a = await fetch(BASIS + "/workspace/api/anmelden", {
+    method: "POST", headers: { "Content-Type": "application/json" },
+    body: JSON.stringify({ rolle: "creator", code: "CODE-TILI-0001" }), redirect: "manual" });
+  ok(a.ok, `Tili kann sich anmelden, obwohl sie ausgeblendet ist (${a.status})`);
+
+  const keks = (a.headers.getSetCookie?.() || []).map((c) => c.split(";")[0]).join("; ");
+  const ich = await (await fetch(BASIS + "/workspace/api/ich", { headers: { cookie: keks } })).json();
+  ok(ich.name === "Tili", `und ist ganz normal angemeldet (${ich.name})`);
+
+  /* Und der Server liefert weiterhin ALLE -- das Kuerzen passiert nur
+     in der Anzeige. Waere es serverseitig, wuerde die naechste
+     Auswertung stillschweigend Personen uebersehen. */
+  const dogiA = await fetch(BASIS + "/workspace/api/anmelden", {
+    method: "POST", headers: { "Content-Type": "application/json" },
+    body: JSON.stringify({ rolle: "admin", code: "CODE-DOGI-0001" }), redirect: "manual" });
+  const dogiKeks = (dogiA.headers.getSetCookie?.() || []).map((c) => c.split(";")[0]).join("; ");
+  const { personen } = await (await fetch(BASIS + "/workspace/api/verwaltung/personen",
+    { headers: { cookie: dogiKeks } })).json();
+  ok(personen.length === 7, `der Server liefert weiterhin alle sieben (${personen.length})`);
+}
+
+ok(konsole.length === 0, `keine Fehler in der Konsole${konsole.length ? " -> " + konsole.join(" | ") : ""}`);
+await seite.click("#rest-schalter");
+await seite.waitForTimeout(300);
+await seite.screenshot({ path: "pruef-personen.png", fullPage: true });
+await kontext.close();
+
+console.log("\n5) Auf dem Handy genauso");
+{
+  const k = await browser.newContext({ viewport: { width: 390, height: 844 } });
+  const s = await seiteFuer(k);
+  const r = await lesen(s);
+  ok(r.knopfDa, "der Knopf ist auch dort da");
+  ok(r.ueber <= 0, `nichts steht über (${r.ueber}px)`);
+  await k.close();
+}
+
+await browser.close();
+console.log(`\n${fehler === 0 ? "Alles in Ordnung." : fehler + " Prüfung(en) fehlgeschlagen."}`);
+try { rmSync(ordner, { recursive: true, force: true }); } catch { /* egal */ }
+process.exit(fehler === 0 ? 0 : 1);