DogFatherGit/dogfather-universe
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Zugang: die gewaehlte Kachel ist bindend

Browse Source 
Filipe, 01.10.2026: „mach das. es soll fest sein."

VanVan hatte gemeldet: „Man kann sich mit seinem Zugangscode immer
noch über jeden Button der Startseite anmelden, egal welche Rolle man
hat."

ICH HATTE ZUERST ABGERATEN -- und lag falsch, weil ich eine alte Lage
beschrieben habe.

Am 09.09.2026 hatte Filipe entschieden, dass die Modis KEINE eigene
Eingangskachel bekommen: „damit die von der workspace auch nicht mal
sehen dass die modis von mir einen eigenen zugang haben." Wer keine
Kachel hat, muss irgendeine nehmen koennen -- daher der stille Zugang.

SEIT DER HAUSTRENNUNG AM 24.09.2026 STIMMT DAS NICHT MEHR. Auf
`crew.` steht laengst ein eigener Kachelsatz mit ALLEN fuenf Rollen:
DogFather, rechte Hand, linke Hand, Modi, Community (CREW_KACHEL, und
crew-index.html zeigt sie). Das Verbergen leistet seither die ADRESSE
-- wer sie nicht kennt, findet die Wand nicht; wer sie kennt, liest
die Rollennamen ohnehin offen darauf.

Der stille Zugang war damit ein Rest. Er hat niemanden mehr
geschuetzt und nur dafuer gesorgt, dass die Kachelwahl folgenlos
blieb. Nachgesehen habe ich das erst, NACHDEM Filipe widersprochen
hat; die Kachelsaetze standen die ganze Zeit im Quelltext.

WAS SICH NICHT AENDERT: Auf der Agenturwand war der stille Zugang nie
aktiv. Ein Team-Dogi-Code verhaelt sich dort weiterhin wie ein
erfundener -- gleiche Antwort, gleicher Weg, gleiche Dauer. Das ist
jetzt ausdruecklich gemessen.

EINE PRUEFADRESSE IST KEINE WAND. `127.0.0.1` ist weder crew. noch
Agentur. Ohne den stillen Zugang gaelte dort der Agentursatz -- und
kein Modi kaeme mehr herein. Fuenfzig Pruefdateien melden Team-Rollen
ueber diese Adresse an. Auf einer Adresse ohne Wand gibt es deshalb
ALLE Kacheln; welche auf welcher ECHTEN Wand steht, misst
pruef-modi-verborgen mit ausdruecklichem Host-Kopf.

GEPRUEFT -- pruef-modi-verborgen 87/0 (war 85; die fuenf Zeilen „jede
Kachel geht" sind durch sieben ersetzt, die die neue Regel und ihre
Gegenproben messen). Die Anzahl ist Zeile fuer Zeile verglichen.

  Modi-Kachel + Modi-Code      -> herein
  admin/hand/linke/gast        -> abgewiesen
  rechte Hand auf ihrer Kachel -> herein
  Agenturwand + Modi-Code      -> wie ein erfundener

pruef-crew-adresse 169/0 (unveraenderte Anzahl, zwei Zeilen
umgedreht).

SECHZEHN PRUEFDATEIEN MELDETEN SICH UEBER FREMDE KACHELN AN -- ein
Rest derselben Zeit. Systematisch gesucht statt einzeln entdeckt:
Waere ich dem roten Lauf hinterhergelaufen, haette ich beim zwoelften
aufgehoert.

UND DABEI EIN EIGENER FEHLER: Mein erster Durchlauf las die Rolle am
CODENAMEN ab (CODE-MODI- -> modi). Das ging gut, bis „Nane" kam: ein
Modi mit dem Code CODE-NANE-0001. Zwei Pruefungen wurden rot, und
zwar an einer Stelle („die Stimmen stimmen"), die mit Anmeldung
nichts zu tun hat. Ein Codename ist eine Beschriftung, keine
Tatsache -- die Rolle steht in `anlegen()`. Danach abgeleitet blieben
genau zwei Abweichungen uebrig, und beide sind absichtliche
Gegenproben.

Drei Browserpruefungen tippten die Creator-Kachel mit einem
Modi-Code. Die Modi-Kachel gibt es nur auf der Crew-Wand, und ein
Browser auf 127.0.0.1 bekommt die Agenturwand; sie melden sich jetzt
ueber die Schnittstelle an und bekommen den Keks. Gemessen werden
soll dort, was ein Modi SIEHT -- nicht, wie er hereinkommt.

Grün: pruef-modi-verborgen, pruef-crew-adresse, pruef-treff 85/0,
pruef-galerie, pruef-kanaele, pruef-modi-katalog 150/0,
pruef-modi-ideen, pruef-modi-kategorien, pruef-modi-checkliste 75/0,
pruef-modi-livecheck, pruef-kachelraster, pruef-team-ampel 32/0,
pruef-team-stufen 47/0, pruef-wunschliste, pruef-bremse,
pruef-gespraech, pruef-personen-formular 43/0, pruef-start-ansicht,
pruef-community-sicht, pruef-reaktion 421/0, pruef-abzeichen,
pruef-chat, pruef-chat-kanaele 81/0, pruef-entwicklung 79/0,
pruef-bewerbung-aufgaben 154/0, pruef-struktur,
pruef-zwischenspeicher 34/0.

`code_kennung` wird weiter geschrieben, aber nicht mehr gelesen --
sie war der Suchschluessel des stillen Weges. Stehen gelassen: Eine
Spalte zu entfernen ist eine Schemaaenderung mit Sicherung, und sie
kostet nichts.

Co-Authored-By: Claude Opus 5 <[email protected]>
This commit is contained in:
DogFatherGit
2026-10-01 00:22:55 +02:00
co-authored by Claude Opus 5
parent 4503b1a475
commit 718b267de0
63 changed files with 1017 additions and 863 deletions
Download Patch File Download Diff File Expand all files Collapse all files
server/pruef-modi-verborgen.mjs
+165 -35
View File
@@ -111,40 +111,130 @@ d.close();
const MODIS = [idModi1, idModi2, idHand];
void idSpicy;
/* ---------- Anmelden ueber die Schnittstelle ------------------------- */
async function anmelden(rolle, code) {
const a = await fetch(BASIS + "/workspace/api/anmelden", {
method: "POST", headers: { "Content-Type": "application/json" },
body: JSON.stringify({ rolle, code }),
/* ---------- Anmelden ueber die Schnittstelle -------------------------
MIT WAND, SEIT DEM 01.10.2026. Vorher ging jede Anmeldung hier ueber
`fetch` auf 127.0.0.1 -- eine Adresse OHNE Wand. Gemessen wurde
damit der stille Zugang und nicht die Kachelregel; seit er weg ist,
waere das die Messung der falschen Sache.
WARUM node:http UND NICHT fetch: `fetch` (undici) setzt den
Host-Kopf selbst aus der Adresse und ignoriert einen mitgegebenen.
Nachgemessen, nicht vermutet -- dieselbe Stelle steht seit dem
22.09. in pruef-chat-kanaele. */
const { request: httpAnfrage } = await import("node:http");
const CREW_WAND = "crew.dogfather-universe.com";
const AGENTUR_WAND = "workspace.dogfather-universe.com";
/** Auf welcher Wand steht die Kachel dieser Rolle?
*
* ABGELEITET STATT AUFGEZAEHLT (01.10.2026). Nach dem Umbau meldeten
* sich acht Stellen ueber eine fremde Kachel an -- ein Manager auf
* der Crew-Wand etwa, wo es seine Kachel gar nicht gibt. Eine Liste
* von Hand waere die, bei der man zwei Stellen vergisst.
*
* Wer eine Wand AUSDRUECKLICH nennt, bekommt sie: Das brauchen die
* Zeilen, die absichtlich die falsche Wand pruefen. */
const CREW_ROLLEN = new Set(["admin", "hand", "linke", "modi", "gast"]);
const wandFuer = (rolle) => (CREW_ROLLEN.has(rolle) ? CREW_WAND : AGENTUR_WAND);
function anmelden(rolle, code, wand = wandFuer(rolle)) {
return new Promise((fertig) => {
const rumpf = JSON.stringify({ rolle, code });
const a = httpAnfrage({
host: "127.0.0.1", port: PORT, path: "/workspace/api/anmelden", method: "POST",
headers: {
"Content-Type": "application/json",
"Content-Length": Buffer.byteLength(rumpf),
Host: wand,
},
}, (antwort) => {
const teile = [];
antwort.on("data", (t) => teile.push(t));
antwort.on("end", () => {
let daten = {};
try { daten = JSON.parse(Buffer.concat(teile).toString("utf8")); } catch { /* kein JSON */ }
fertig({
status: antwort.statusCode,
daten,
keks: [].concat(antwort.headers["set-cookie"] || [])
.map((z) => z.split(";")[0]).join("; "),
});
});
});
a.on("error", () => fertig({ status: 0, daten: {}, keks: "" }));
a.end(rumpf);
});
const daten = await a.json().catch(() => ({}));
const keks = (a.headers.getSetCookie?.() || []).map((z) => z.split(";")[0]).join("; ");
return { status: a.status, daten, keks };
}
console.log("\n=== 1. Der Eingang: eine Kachel gibt es nicht ===\n");
/* =====================================================================
1. DIE KACHEL IST BINDEND (01.10.2026)
for (const kachel of ["creator", "scout", "manager", "spicy", "admin"]) {
const a = await anmelden(kachel, "CODE-MODI-0001");
ok(a.status === 200 && a.daten?.rolle === "modi",
`Kachel "${kachel}" + Modi-Code -> angemeldet als ${a.daten?.rolle || a.status}`);
}
Filipe: „mach das. es soll fest sein."
VanVan hatte gemeldet: „Man kann sich mit seinem Zugangscode immer
noch über jeden Button der Startseite anmelden, egal welche Rolle
man hat."
BIS HEUTE STAND HIER DAS GEGENTEIL, und das war richtig: Vom
09.09.2026 an hatten die Modis KEINE eigene Kachel -- wer keine
hat, muss irgendeine nehmen koennen.
Seit der Haustrennung am 24.09. hat `crew.` einen eigenen
Kachelsatz mit allen fuenf Rollen. Das Verbergen leistet die
ADRESSE; der Trick mit der beliebigen Kachel war ein Rest.
===================================================================== */
console.log("\n=== 1. Der Eingang: die Kachel gilt ===\n");
/* Der Umkehrschluss, und er ist der wichtigere: Der stille Weg darf
NICHT dazu fuehren, dass auch alle anderen die Kachel ignorieren
duerfen. Ein Manager mit der Kachel "creator" muss weiterhin
scheitern -- sonst haette ich nebenbei die Rollenpruefung
abgeschafft, ohne es zu merken. */
{
const a = await anmelden("creator", "CODE-MAN-0001");
const a = await anmelden("modi", "CODE-MODI-0001");
ok(a.status === 200 && a.daten?.rolle === "modi",
`auf der Modi-Kachel kommt ein Modi herein (${a.daten?.rolle || a.status})`);
}
/* UND AUF KEINER ANDEREN. Das ist die Aenderung. */
for (const kachel of ["admin", "hand", "linke", "gast"]) {
const a = await anmelden(kachel, "CODE-MODI-0001");
ok(a.status === 401,
`Kachel "${kachel}" + Modi-Code -> abgewiesen (${a.status})`);
}
/* GEGENPROBE: Die anderen Rollen der Crew-Wand kommen auf IHRER
Kachel herein. Ohne sie hiesse „401 ueberall" womoeglich nur, dass
dort gar niemand mehr hereinkommt. */
{
const h = await anmelden("hand", "CODE-HAND-0001");
ok(h.status === 200 && h.daten?.rolle === "hand",
`die rechte Hand auf ihrer Kachel (${h.daten?.rolle || h.status})`);
}
/* UND DIE AGENTURWAND BLEIBT, WIE SIE WAR. Dort war der stille Weg
nie aktiv; ein Modi-Code verhaelt sich weiter wie ein erfundener. */
{
const a = await anmelden("creator", "CODE-MODI-0001", AGENTUR_WAND);
const b = await anmelden("creator", "GIBT-ES-NICHT-1", AGENTUR_WAND);
ok(a.status === 401 && b.status === 401
&& JSON.stringify(a.daten) === JSON.stringify(b.daten),
`auf der Agenturwand klingt ein Modi-Code wie ein erfundener `
+ `(${a.status} vs. ${b.status})`);
}
/* Und die Rollenpruefung der Agentur ist unveraendert: Ein Manager
mit der Kachel "creator" scheitert weiterhin. */
{
const a = await anmelden("creator", "CODE-MAN-0001", AGENTUR_WAND);
ok(a.status === 401, `Manager-Code auf der Creator-Kachel bleibt abgewiesen (${a.status})`);
}
/* Wortgleichheit: "modi" von aussen anzugeben darf nicht anders klingen
als eine erfundene Rolle. */
{
const m = await anmelden("modi", "FALSCH-FALSCH-1");
const x = await anmelden("gibtesnicht", "FALSCH-FALSCH-1");
/* AUF DER AGENTURWAND klingt „modi" wie eine erfundene Rolle --
dort gibt es die Kachel nicht. Auf crew. gibt es sie, und dort
entscheidet der Code; deshalb wird das hier ausdruecklich an der
Agenturwand gefragt. */
const m = await anmelden("modi", "FALSCH-FALSCH-1", AGENTUR_WAND);
const x = await anmelden("gibtesnicht", "FALSCH-FALSCH-1", AGENTUR_WAND);
ok(m.status === 401 && x.status === 401
&& JSON.stringify(m.daten) === JSON.stringify(x.daten),
"Rolle \"modi\" von aussen klingt wie eine erfundene "
@@ -152,7 +242,7 @@ for (const kachel of ["creator", "scout", "manager", "spicy", "admin"]) {
}
{
const a = await anmelden("creator", "CODE-MODI-FALSCH");
const a = await anmelden("modi", "CODE-MODI-FALSCH");
ok(a.status === 401, `ein falscher Modi-Code wird abgewiesen (${a.status})`);
}
@@ -184,8 +274,16 @@ const LEUTE = [
["Manager", "manager", "CODE-MAN-0001", false],
["Scout", "scout", "CODE-SCOU-0001", false],
["Creator", "creator", "CODE-ANNA-0001", false],
["Modi Marina", "creator", "CODE-MODI-0001", true],
["Rechte Hand", "creator", "CODE-HAND-0001", true],
/* AUF IHRER EIGENEN KACHEL (01.10.2026). Hier stand „creator" --
der stille Zugang liess damals jede Kachel durch. Seit die Kachel
bindend ist, scheiterte ihre Anmeldung STILL: `unklar(...)` und
weiter, und acht Sichtbarkeitspruefungen fielen lautlos weg.
Genau der Rueckgang, vor dem die Hausregel warnt -- gruen bei
weniger Pruefungen. Gefunden hat ihn nicht der Lauf, sondern der
Vergleich der Anzahl mit dem Lauf davor. */
["Modi Marina", "modi", "CODE-MODI-0001", true],
["Rechte Hand", "hand", "CODE-HAND-0001", true],
];
async function hole(keks, pfad) {
@@ -239,7 +337,7 @@ console.log("\n=== 3. Auch die ZAHL darf sie nicht mitzaehlen ===\n");
/* ---------- 4. Sehen die Modis einander? ----------------------------- */
console.log("\n=== 4. Die Modis sind untereinander ein Team ===\n");
{
const an = await anmelden("creator", "CODE-MODI-0001");
const an = await anmelden("modi", "CODE-MODI-0001");
const { status, daten } = await hole(an.keks, "/workspace/api/personen");
if (status !== 200 || !Array.isArray(daten?.personen)) {
unklar(`Personenwahl fuer den Modi nicht lesbar (${status})`);
@@ -292,7 +390,8 @@ console.log("\n=== 5. Anlegen wie im Betrieb: DogFather legt einen Modi an ===\n
vergessen worden, waeren oben trotzdem alle Haken gruen und kein
einziger echter Modi kaeme herein. */
if (neuDaten?.code) {
const b = await anmelden("creator", neuDaten.code);
/* AUF DER MODI-KACHEL, seit dem 01.10.2026 -- vorher ging jede. */
const b = await anmelden("modi", neuDaten.code);
ok(b.status === 200 && b.daten?.rolle === "modi",
"und meldet sich mit seinem Code an, ueber eine fremde Kachel "
+ `(${b.status}, ${b.daten?.rolle})`);
@@ -314,7 +413,10 @@ console.log("\n=== 5. Anlegen wie im Betrieb: DogFather legt einen Modi an ===\n
/* ---------- 6. Die Startseite eines Modis ---------------------------- */
console.log("\n=== 6. Was ein Modi auf seiner Startseite sieht ===\n");
{
const an = await anmelden("creator", "CODE-MODI-0001");
/* AUF SEINER EIGENEN KACHEL, seit dem 01.10.2026. Hier stand
„creator" -- damals gab es fuer einen Modi keine eigene, und der
stille Zugang liess jede durch. Jetzt gilt die Kachel. */
const an = await anmelden("modi", "CODE-MODI-0001");
const { status, daten } = await hole(an.keks, "/workspace/api/ich");
if (status !== 200) {
unklar(`/api/ich nicht lesbar (${status})`);
@@ -385,12 +487,40 @@ console.log("\n=== 7. Dieselbe Seite mit einem echten Browser ===\n");
seite.on("console", (e) => { if (e.type() === "error") konsole.push(e.text()); });
seite.on("pageerror", (e) => konsole.push("Absturz: " + e.message));
await seite.goto(BASIS + "/workspace/", { waitUntil: "domcontentloaded" });
/* Irgendeine Kachel -- fuer einen Modi gibt es keine eigene. */
await seite.click('.rolle[data-rolle="creator"]');
await seite.fill("#code", "CODE-MODI-0001");
await seite.click("button[type=submit]");
await seite.waitForURL("**/start.html", { timeout: 15000 });
/* ==== ANGEMELDET WIRD UEBER DIE WAND, NICHT UEBER DIE SEITE
(01.10.2026)
Hier wurde bis heute im Browser auf die Creator-Kachel getippt
und der Modi-Code eingegeben -- das ging, solange der stille
Zugang jede Kachel durchliess.
Seit die Kachel bindend ist, braeuchte der Browser die
CREW-Wand: Dort steht die Modi-Kachel. Ein Browser auf
127.0.0.1 bekommt aber die Agenturwand, und ein Host-Kopf
laesst sich dort nur mit einer Namensumleitung setzen (so macht
es mess-reaktion mit `--host-resolver-rules`).
Der kuerzere und ehrlichere Weg: an der richtigen Wand
anmelden und den Keks mitgeben. Gemessen werden soll, was ein
Modi auf seiner STARTSEITE sieht -- nicht, wie er hereinkommt.
Das steht in Abschnitt 1, und dort wird es an der echten Wand
gemessen. */
const modiKeks = (await anmelden("modi", "CODE-MODI-0001")).keks;
await kontext.addCookies(modiKeks.split("; ").filter(Boolean).map((z) => {
const [n, ...r] = z.split("=");
return { name: n, value: r.join("="), domain: "127.0.0.1", path: "/" };
}));
await seite.goto(BASIS + "/workspace/start.html", { waitUntil: "domcontentloaded" });
/* KEIN `waitForURL` MEHR. Es wartete auf eine Navigation, die es
seit dem 01.10.2026 nicht mehr gibt -- angemeldet wird ueber
die Wand, nicht ueber das Formular. Steht die Seite schon da,
wartet es trotzdem und laeuft in die Frist.
Und wenn der Keks NICHT angenommen wurde, sagt die Zeile
darunter genau das, statt fuenfzehn Sekunden zu schweigen. */
if (!/start\.html/.test(seite.url())) {
unklar(`nach dem Anmelden steht die Seite auf ${seite.url()}`);
}
await seite.waitForTimeout(1200);
const bild = await seite.evaluate(() => ({
@@ -490,7 +620,7 @@ console.log("\n=== 8. Aufgaben, Einträge und Dateien eines Modis ===\n");
Der Kalender ist bewusst nicht dabei: termineSichtbar() gibt jedem
nur Eigenes, dort kann nichts durchsickern. Nachgesehen, nicht
angenommen. */
const an = await anmelden("creator", "CODE-MODI-0001");
const an = await anmelden("modi", "CODE-MODI-0001");
const MERKMAL = "GEHEIMER MODI-EINTRAG";
/* (a) Eine Aufgabe -- ueber den normalen Weg. */