DogFatherGit/dogfather-universe
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Stufe 5: Highlights als Galerie -- und ein enger Weg fuer Bilder

Browse Source 
Aus dem Plan im Vault. "Eure Clips und Bilder" zeigte Textkarten mit
einem Anhang darunter. Ein Bild als Anhang unter einer Ueberschrift ist
kein Highlight -- dieser Bereich lebt vom Sehen. Jetzt steht das Bild
OBEN, der Text ist Bildunterschrift.

ZWEI DINGE WAREN ANDERS ALS IM PLAN

1. "Anhaenge sind schon da" stimmte nicht. Sie hingen an AUFGABEN
   (`dateien.aufgabe_id`); ein Eintrag konnte gar kein Bild tragen.
   Neue Spalte `eintrag_id`.

2. UND DER WICHTIGE, ein Sicherheitsthema: Alles in dieser Ablage geht
   bewusst als DOWNLOAD hinaus (`application/octet-stream`,
   `Content-Disposition: attachment`). Eine hochgeladene HTML- oder
   SVG-Datei wuerde sonst im Browser als Seite DIESER Domain laufen --
   mit Zugriff auf die Sitzung. Eine Galerie braucht also einen
   eigenen, engen Weg, keine Lockerung der alten Regel.

DIE FRAGE "IST DAS EIN BILD?" DARF NICHT `dateien.typ` BEANTWORTEN.
Diese Spalte traegt den vom Browser BEHAUPTETEN Typ
(`req.get("content-type")`) -- wer hochlaedt, bestimmt ihn selbst. Eine
Galerie, die ihm glaubt, liefert auf Zuruf alles inline aus. Erkannt
wird deshalb an den ERSTEN BYTES: PNG, JPEG, GIF, WEBP.

SVG IST AUSDRUECKLICH NICHT DABEI. Es ist ein Bildformat UND kann
Skript enthalten -- genau die Luecke, gegen die die Regel gebaut wurde.
Ein Format, das beides ist, gehoert nicht in die Ausnahme.

Kein Bild heisst 404, nicht 415: Eine eigene Antwort waere die Auskunft
"diese Nummer gibt es, sie ist nur kein Bild", und die laesst sich
durchzaehlen.

WESSEN REGEL GILT: Ein Bild am Community-Beitrag folgt dem BEITRAG,
nicht der Dateiablage. Deren Regel haengt an Creator-Zuordnungen, und
ein Gast hat keine -- er saehe sonst nie ein Highlight, obwohl es fuer
ihn gemacht ist.

NEU: pruef-galerie (26 Pruefungen)
Der Beweis steht in zwei Zeilen: Am Beitrag haengen VIER Dateien --
zwei echte PNGs, ein SVG und eine HTML-Datei, die sich als
"image/png" ausgibt. Im Raster stehen ZWEI. Die anderen beiden holt
der Browser, bekommt 404, und der error-Handler raeumt sie weg: kein
leerer Rahmen, kein kaputtes Symbol.

Dazu die Gegenprobe in die andere Richtung -- ein echtes PNG, das sich
als "text/plain" ausgibt, geht durch. Ohne sie hiesse "404" nur, dass
der Weg immer ablehnt. Und die Konsolenpruefung laesst genau die zwei
gewollten 404 zu und nichts sonst; ein pauschales "Konsole egal" haette
jeden echten Fehler mitversteckt.

EIN EIGENER FEHLER: Mein Test-PNG war kein dekodierbares Bild, nur ein
Dateikopf. Der Browser konnte es nicht zeichnen, der error-Handler
raeumte es weg, und die Pruefung fand im Raster nichts. Fehler in der
Pruefung, nicht im Haus -- aber ein nuetzlicher: Er hat nebenbei
gezeigt, dass ein kaputtes Bild keinen leeren Rahmen hinterlaesst.

pruef-anhaenge 37, pruef-treff 66, pruef-bereiche-lesend,
pruef-css-klassen: gruen.

Co-Authored-By: Claude Opus 5 <[email protected]>
This commit is contained in:
DogFatherGit
2026-09-17 11:43:40 +02:00
co-authored by Claude Opus 5
parent 670940bd3a
commit 4b14906371
36 changed files with 944 additions and 363 deletions
Download Patch File Download Diff File Expand all files Collapse all files
server/workspace-dateien.js
+123 -4
View File
@@ -27,11 +27,13 @@
import express from "express";
import { randomBytes } from "node:crypto";
import { join, extname, basename } from "node:path";
import { mkdirSync, createReadStream, writeFileSync, unlinkSync, statSync } from "node:fs";
import { mkdirSync, createReadStream, writeFileSync, unlinkSync, statSync,
openSync, readSync, closeSync } from "node:fs";
import {
db, protokolliere, echteIp, sitzungLesen, DATEN_ORDNER, betreutWo, darfCreator, betreuteIds, istLeitung, istDogFather, siehtAlles, istSpicy, ohneDogFather, ROLLEN_SORTIERUNG,
externSql, EXTERN_MAX, sichtbarePersonenIds,
ohneTeamDogi, ohneAgentur, siehtModis,
TREFF_BRETTER, TREFF_ROLLEN,
} from "./workspace.js";
export const dateienRouter = express.Router();
@@ -504,14 +506,32 @@ dateienRouter.post("/workspace/api/dateien",
ORDER BY id DESC`).all(name, creatorId, creatorId);
const ersetztId = vorgaenger.length === 1 ? vorgaenger[0].id : null;
/* AN EINEN COMMUNITY-BEITRAG (17.09.2026). Dieselbe Regel wie bei
der Aufgabe eine Ebene hoeher: Eine unbekannte Nummer ist ein
FEHLER, kein stilles Ignorieren -- wer ein Bild an ein Highlight
haengen wollte und es liegt danach lose in der Ablage, sucht es
spaeter am Highlight. */
let eintragId = null;
const rohEintrag = req.get("x-eintrag");
if (rohEintrag) {
const n = Number(rohEintrag);
const e = Number.isInteger(n) && n > 0
? db().prepare("SELECT id, bereich FROM eintraege WHERE id = ?").get(n)
: null;
if (!e || !TREFF_BRETTER.includes(e.bereich)) {
return res.status(404).json({ fehler: "eintrag_nicht_gefunden" });
}
eintragId = e.id;
}
const { lastInsertRowid } = db().prepare(`
INSERT INTO dateien
(name_original, name_datei, groesse, typ, status, notiz,
creator_id, hochgeladen_von, erstellt, ersetzt_id, aufgabe_id)
VALUES (?,?,?,?,'entwurf',?,?,?,?,?,?)`).run(
creator_id, hochgeladen_von, erstellt, ersetzt_id, aufgabe_id, eintrag_id)
VALUES (?,?,?,?,'entwurf',?,?,?,?,?,?,?)`).run(
name, dateiname, req.body.length,
(req.get("content-type") || "application/octet-stream").slice(0, 100),
notiz, creatorId, req.person.id, jetzt(), ersetztId, aufgabeId);
notiz, creatorId, req.person.id, jetzt(), ersetztId, aufgabeId, eintragId);
/* Ausdrueckliche Freigaben. Der Kopf traegt eine Liste von Ids --
geprueft wird jede einzelne gegen die erlaubte Auswahl. */
@@ -541,6 +561,105 @@ dateienRouter.post("/workspace/api/dateien",
/* ---------- Herunterladen ------------------------------------------------ */
/* =====================================================================
EIN BILD INLINE AUSLIEFERN (17.09.2026)
Alles in dieser Ablage geht sonst als DOWNLOAD hinaus
(`application/octet-stream`, `Content-Disposition: attachment`), und
das ist richtig so: Eine hochgeladene HTML- oder SVG-Datei wuerde im
Browser als Seite DIESER Domain laufen -- mit Zugriff auf die
Sitzung.
Eine Galerie braucht Bilder im Bild. Also ein eigener, enger Weg --
und der beantwortet die Frage "ist das ein Bild?" NICHT so, wie man
es zuerst tut:
`dateien.typ` ist der vom Browser BEHAUPTETE Typ
(`req.get("content-type")`). Wer hochlaedt, bestimmt ihn selbst.
Eine Galerie, die ihm glaubt, liefert auf Zuruf alles inline aus.
Erkannt wird deshalb an den ERSTEN BYTES der Datei. Die kann niemand
behaupten; sie stehen da oder nicht.
UND SVG IST AUSDRUECKLICH NICHT DABEI. Es ist ein Bildformat, und es
kann Skript enthalten -- genau die Luecke, gegen die die Regel oben
gebaut wurde. Ein Format, das beides ist, gehoert nicht in die
Ausnahme. */
const BILD_KENNUNGEN = [
{ typ: "image/png", pruefe: (b) => b[0] === 0x89 && b[1] === 0x50 && b[2] === 0x4e && b[3] === 0x47 },
{ typ: "image/jpeg", pruefe: (b) => b[0] === 0xff && b[1] === 0xd8 && b[2] === 0xff },
{ typ: "image/gif", pruefe: (b) => b.slice(0, 6).toString("latin1") === "GIF87a"
|| b.slice(0, 6).toString("latin1") === "GIF89a" },
{ typ: "image/webp", pruefe: (b) => b.slice(0, 4).toString("latin1") === "RIFF"
&& b.slice(8, 12).toString("latin1") === "WEBP" },
];
/** Welches Bildformat steht wirklich am Dateianfang? `null` heisst:
* kein Bild -- und dann wird nichts inline ausgeliefert. */
export function bildArtVon(anfang) {
if (!Buffer.isBuffer(anfang) || anfang.length < 12) return null;
for (const k of BILD_KENNUNGEN) {
try { if (k.pruefe(anfang)) return k.typ; } catch { /* naechste */ }
}
return null;
}
dateienRouter.get("/workspace/api/dateien/:id/bild", (req, res) => {
try {
const id = Number(req.params.id);
if (!Number.isInteger(id)) return res.status(400).json({ fehler: "ungueltig" });
const datei = db().prepare(
"SELECT id, name_datei, name_original, eintrag_id FROM dateien WHERE id = ?").get(id);
if (!datei) return res.status(404).json({ fehler: "nicht_gefunden" });
/* WESSEN REGEL GILT? Ein Bild an einem Community-Beitrag folgt dem
BEITRAG, nicht der Dateiablage: Wer das Brett sehen darf, sieht
das Bild. Die Ablage-Regel haengt an Creator-Zuordnungen, und ein
Gast hat keine -- er saehe sonst nie ein Highlight, obwohl es
fuer ihn gemacht ist. Alles ohne Beitrag faellt auf die normale
Regel zurueck. */
let erlaubt = false;
if (datei.eintrag_id) {
const e = db().prepare("SELECT bereich FROM eintraege WHERE id = ?").get(datei.eintrag_id);
erlaubt = !!e && TREFF_BRETTER.includes(e.bereich)
&& TREFF_ROLLEN.has((req.sicht || req.person)?.rolle);
}
if (!erlaubt) {
const { wo, werte } = sichtbar(req.person);
erlaubt = !!db().prepare(`SELECT d.id ${VERBUND} WHERE ${wo} AND d.id = ?`)
.get(...werte, id);
}
if (!erlaubt) return res.status(404).json({ fehler: "nicht_gefunden" });
const pfad = join(ORDNER, datei.name_datei);
let anfang;
try {
const f = openSync(pfad, "r");
anfang = Buffer.alloc(16);
readSync(f, anfang, 0, 16, 0);
closeSync(f);
} catch { return res.status(410).json({ fehler: "Datei fehlt auf der Platte." }); }
const art = bildArtVon(anfang);
/* KEIN BILD HEISST 404, nicht 415. Eine eigene Antwort waere die
Auskunft "diese Nummer gibt es, sie ist nur kein Bild" -- und die
laesst sich durchzaehlen. */
if (!art) return res.status(404).json({ fehler: "nicht_gefunden" });
res.setHeader("Content-Type", art);
res.setHeader("X-Content-Type-Options", "nosniff");
res.setHeader("Content-Security-Policy", "default-src 'none'; sandbox");
res.setHeader("Content-Disposition",
`inline; filename*=UTF-8''${encodeURIComponent(datei.name_original)}`);
res.setHeader("Cache-Control", "private, max-age=3600");
createReadStream(pfad).pipe(res);
} catch (fehler) {
console.error("[workspace] Bild ausliefern:", fehler?.message);
res.status(503).json({ fehler: "nicht_verfuegbar" });
}
});
dateienRouter.get("/workspace/api/dateien/:id/inhalt", (req, res) => {
try {
const id = Number(req.params.id);