Das Mindestalter wird eingeloest statt behauptet -- Stufe 8 ist damit durch
Auf der Regelseite des Treffs steht seit dem 11.09. "ab 18". Geprueft
wurde es nirgends: MINDESTALTER war ein Text auf einer Seite, sonst
nichts. Eine Regel, die nur dasteht, ist keine -- im Streitfall ist sie
sogar schlechter als keine, weil man sie versprochen hat.
DIE FRAGE STEHT AN DER TUER
Ein Community-Mitglied bestaetigt beim ERSTEN Hereinkommen, mindestens
18 zu sein. Danach nie wieder.
An der Tuer und nicht auf einer Seite dahinter: Eine Sperre auf den
Brettern liesse sich ueber eine andere Adresse umgehen und muesste
auf jeder kuenftigen Seite mitgedacht werden. Die Tuer gibt es genau
einmal.
Ein EIGENER Fehler (400 alter_offen), nicht "ungueltig": Hier ist der
Code richtig. Wer dieselbe Antwort bekaeme wie bei einem Tippfehler,
tippte seinen Code immer wieder neu ein, und es wuerde nie besser.
Und es zaehlt NICHT als Fehlversuch. Sonst sperrt sich jemand mit dem
richtigen Code nach acht Anlaeufen selbst aus.
Nur die Community: Wer zum Team gehoert, hat seinen Zugang von
DogFather persoenlich bekommen -- da ist die Frage vorher geklaert.
NUR EIN ZEITSTEMPEL, KEIN GEBURTSDATUM
Gebraucht wird die Antwort auf "hat bestaetigt, und wann" -- nicht der
Geburtstag. Ein Geburtsdatum waeren mehr Daten fuer dieselbe Auskunft,
und Datenminimierung gilt auch fuer das eigene Nachweisbeduerfnis. Eine
Spalte, mehr nicht.
DIE RECHTSGRUNDLAGE FOLGT AUS DER ROLLE -- UND WIRD NICHT GESPEICHERT
Ein Modi arbeitet hier (Vertrag), ein Community-Mitglied ist freiwillig
da (Einwilligung). Was sich ableiten laesst, bekommt keine Spalte:
sonst gaebe es zwei Wahrheiten, von denen eine veraltet, sobald jemand
die Rolle wechselt. Sie steht jetzt in jeder Auskunft (Art. 15 Abs. 1
lit. a) und im Loeschkonzept.
MINDESTALTER ZIEHT INS IMPORTFREIE BLATT
Die Tuer braucht die Zahl jetzt auch, und ein Import zwischen
workspace.js und workspace-treff.js waere ein Kreis -- genau der Grund,
aus dem treff-tabellen.js existiert. Die Zahl steht weiterhin an EINER
Stelle; der Regeltext bekommt sie unveraendert.
EIN EIGENER FEHLER, GEFUNDEN VON DER PRUEFUNG
Ich hatte `export { MINDESTALTER } from "./treff-tabellen.js"` benutzt --
eine Durchreiche. Der Name ist damit fuer IMPORTEURE da, aber nicht in
der Datei selbst. Die Regelroute benutzt ihn selbst und lief in einen
ReferenceError, und zwar erst beim Aufruf. pruef-alter hat es gesehen,
nicht das Auge.
VIER PRUEFUNGEN MUSSTEN NACHZIEHEN
pruef-treff, pruef-treff-werkzeuge, pruef-auskunft und pruef-neue-seiten
melden sich als Community an. Sie schicken das Haekchen jetzt mit --
aber NUR fuer 'gast'. Ginge es immer mit, koennte keine Pruefung mehr
sehen, ob der Server es fuer das Team ueberhaupt ignoriert.
PRUEFUNGEN: pruef-alter neu mit 35, davon 7 im Browser. Darunter die,
die man vergisst: Wird beim ZWEITEN Mal wieder gefragt? (nein) -- denn
eine Abfrage, die jedes Mal kommt, wird weggeklickt, ohne gelesen zu
werden, und bestaetigt ab da nichts mehr.
Co-Authored-By: Claude Opus 5 <[email protected]>
This commit is contained in:
Claude Opus 5
@@ -0,0 +1,344 @@
|
||||
/* =====================================================================
|
||||
Das Mindestalter wird eingelöst, nicht behauptet (15.09.2026)
|
||||
|
||||
Letztes Stück von Stufe 8. Auf der Regelseite des Treffs steht seit
|
||||
dem 11.09. „ab 18" — und geprüft wurde es nirgends. Eine Regel, die
|
||||
nur dasteht, ist keine; im Streitfall ist sie sogar schlechter als
|
||||
keine, weil man sie versprochen hat.
|
||||
|
||||
---------------------------------------------------------------------
|
||||
VIER FRAGEN
|
||||
|
||||
1. Kommt jemand ohne Bestätigung herein? (darf nicht)
|
||||
2. Kommt er mit Bestätigung herein? (muss)
|
||||
3. Wird er beim ZWEITEN Mal wieder gefragt? (darf nicht)
|
||||
4. Wird das Team gefragt? (darf nicht)
|
||||
|
||||
Die dritte ist die, die man vergisst — und sie ist die, an der eine
|
||||
solche Abfrage im Alltag scheitert: Wer sie jedes Mal sieht, klickt
|
||||
sie weg, ohne sie zu lesen, und dann bestätigt sie nichts mehr.
|
||||
|
||||
Dazu die unbequemste: Ein richtiger Code mit fehlender Bestätigung
|
||||
darf NICHT als Fehlversuch zählen — sonst sperrt sich jemand mit dem
|
||||
richtigen Code nach acht Anläufen selbst aus.
|
||||
|
||||
Aufrufen mit: node server/pruef-alter.mjs
|
||||
===================================================================== */
|
||||
|
||||
import { mkdtempSync, rmSync } from "node:fs";
|
||||
import { tmpdir } from "node:os";
|
||||
import { join } from "node:path";
|
||||
import { request as httpAnfrage } from "node:http";
|
||||
import { portMussFreiSein } from "./helfer-port.mjs";
|
||||
|
||||
const PORT = await portMussFreiSein(4413, "pruef-alter");
|
||||
|
||||
const ordner = mkdtempSync(join(tmpdir(), "ws-alter-"));
|
||||
process.env.WORKSPACE_DB = join(ordner, "workspace.db");
|
||||
process.env.PORT = String(PORT);
|
||||
process.env.SITE_ACCESS_SECRET = "lokaler-test";
|
||||
process.env.SITE_PUBLIC_LAUNCH_AT = "2020-01-01T00:00:00+01:00";
|
||||
|
||||
const express = (await import("express")).default;
|
||||
const ec = express.response.cookie;
|
||||
express.response.cookie = function (n, w, o) { return ec.call(this, n, w, { ...(o || {}), secure: false }); };
|
||||
import { notbremse } from "./helfer-notbremse.mjs";
|
||||
await import("./index.js");
|
||||
notbremse(180_000, "pruef-alter");
|
||||
await new Promise((r) => setTimeout(r, 700));
|
||||
|
||||
process.on("uncaughtException", (f) => { console.error("ABSTURZ:", f); process.exit(7); });
|
||||
process.on("unhandledRejection", (f) => { console.error("ABSTURZ (Versprechen):", f); process.exit(7); });
|
||||
|
||||
let fehler = 0, geprueft = 0;
|
||||
const melde = (t) => console.log(t);
|
||||
const ok = (b, t) => { geprueft++; console.log((b ? " ok " : " FEHL ") + t); if (!b) fehler++; };
|
||||
|
||||
const CREW = "crew.dogfather-universe.com";
|
||||
const HAUS = "workspace.dogfather-universe.com";
|
||||
|
||||
const { DatabaseSync } = await import("node:sqlite");
|
||||
const { scryptSync, randomBytes, createHmac } = await import("node:crypto");
|
||||
const { MINDESTALTER } = await import("./treff-tabellen.js");
|
||||
|
||||
const oeffne = () => new DatabaseSync(process.env.WORKSPACE_DB);
|
||||
const jetzt = new Date().toISOString();
|
||||
|
||||
let idKessi, idRieke;
|
||||
{
|
||||
const d = oeffne();
|
||||
const schluessel = randomBytes(32).toString("hex");
|
||||
d.prepare("INSERT INTO einstellungen (schluessel, wert, geaendert, von)"
|
||||
+ " VALUES (?,?,?,NULL) ON CONFLICT(schluessel) DO NOTHING")
|
||||
.run("code_kennung_schluessel", schluessel, jetzt);
|
||||
const anlegen = (name, rolle, code) => {
|
||||
const salt = randomBytes(16).toString("hex");
|
||||
const hash = scryptSync(code, salt, 64, { N: 32768, r: 8, p: 1, maxmem: 96 * 1024 * 1024 }).toString("hex");
|
||||
d.prepare("INSERT INTO personen (name, rolle, code_hash, code_salt, code_n, code_kennung, aktiv, erstellt)"
|
||||
+ " VALUES (?,?,?,?,?,?,1,?)")
|
||||
.run(name, rolle, hash, salt, 32768, createHmac("sha256", schluessel).update(code).digest("hex"), jetzt);
|
||||
return d.prepare("SELECT last_insert_rowid() AS id").get().id;
|
||||
};
|
||||
anlegen("Filipe", "admin", "CODE-DOGI-0001");
|
||||
idRieke = anlegen("Rieke", "hand", "CODE-HAND-0001");
|
||||
idKessi = anlegen("Kessi", "gast", "CODE-GAST-0001");
|
||||
d.close();
|
||||
}
|
||||
|
||||
function post(pfad, host, koerper, kopf = {}) {
|
||||
return new Promise((fertig, schief) => {
|
||||
const a = httpAnfrage({ host: "127.0.0.1", port: PORT, path: pfad, method: "POST",
|
||||
headers: { Host: host, "Content-Type": "application/json", ...kopf } }, (antwort) => {
|
||||
let text = "";
|
||||
antwort.on("data", (s) => { text += s; });
|
||||
antwort.on("end", () => fertig({ code: antwort.statusCode, text, kopf: antwort.headers }));
|
||||
});
|
||||
a.on("error", schief);
|
||||
a.write(JSON.stringify(koerper));
|
||||
a.end();
|
||||
});
|
||||
}
|
||||
function hole(pfad, host, kopf = {}) {
|
||||
return new Promise((fertig, schief) => {
|
||||
const a = httpAnfrage({ host: "127.0.0.1", port: PORT, path: pfad, method: "GET",
|
||||
headers: { Host: host, ...kopf } }, (antwort) => {
|
||||
let text = "";
|
||||
antwort.on("data", (s) => { text += s; });
|
||||
antwort.on("end", () => fertig({ code: antwort.statusCode, text, kopf: antwort.headers }));
|
||||
});
|
||||
a.on("error", schief);
|
||||
a.end();
|
||||
});
|
||||
}
|
||||
const json = (a) => { try { return JSON.parse(a.text); } catch { return {}; } };
|
||||
const keks = (a) => [].concat(a.kopf?.["set-cookie"] || []).map((c) => c.split(";")[0]).join("; ");
|
||||
const alterVon = (id) => {
|
||||
const d = oeffne();
|
||||
const w = d.prepare("SELECT alter_bestaetigt_am FROM personen WHERE id = ?").get(id)?.alter_bestaetigt_am;
|
||||
d.close();
|
||||
return w;
|
||||
};
|
||||
|
||||
/* =======================================================================
|
||||
1. OHNE BESTÄTIGUNG KOMMT NIEMAND HEREIN
|
||||
======================================================================= */
|
||||
melde("");
|
||||
melde("=== 1. Ohne Bestätigung ===");
|
||||
{
|
||||
ok(MINDESTALTER === 18, `das Mindestalter steht bei ${MINDESTALTER}`);
|
||||
ok(alterVon(idKessi) === null, "Kessi hat noch nichts bestätigt");
|
||||
|
||||
const ohne = await post("/workspace/api/anmelden", CREW, { rolle: "gast", code: "CODE-GAST-0001" });
|
||||
ok(ohne.code === 400, `sie kommt nicht herein (${ohne.code})`);
|
||||
ok(json(ohne).fehler === "alter_offen",
|
||||
`und erfährt, woran es liegt (${json(ohne).fehler})`);
|
||||
ok(json(ohne).mindestalter === MINDESTALTER,
|
||||
`samt der Zahl, gegen die geprüft wird (${json(ohne).mindestalter})`);
|
||||
ok(!keks(ohne), "keine Sitzung dabei — sie ist wirklich draußen");
|
||||
|
||||
/* AUSDRÜCKLICH NEIN ist dasselbe wie gar nichts. */
|
||||
const nein = await post("/workspace/api/anmelden", CREW,
|
||||
{ rolle: "gast", code: "CODE-GAST-0001", alter_ok: false });
|
||||
ok(nein.code === 400 && json(nein).fehler === "alter_offen",
|
||||
`ein ausdrückliches Nein ebenso (${nein.code})`);
|
||||
|
||||
/* UND KEIN FEHLVERSUCH. Wer den richtigen Code hat, darf sich daran
|
||||
nicht selbst aussperren -- acht Anlaeufe, und die IP waere gesperrt. */
|
||||
const d = oeffne();
|
||||
const versuche = d.prepare("SELECT COUNT(*) AS n FROM versuche").get().n;
|
||||
d.close();
|
||||
ok(versuche === 0, `und es zählt nicht als Fehlversuch (${versuche} in der Tabelle)`);
|
||||
}
|
||||
|
||||
/* =======================================================================
|
||||
2. MIT BESTÄTIGUNG SCHON — UND SIE WIRD FESTGEHALTEN
|
||||
======================================================================= */
|
||||
melde("");
|
||||
melde("=== 2. Mit Bestätigung ===");
|
||||
{
|
||||
const mit = await post("/workspace/api/anmelden", CREW,
|
||||
{ rolle: "gast", code: "CODE-GAST-0001", alter_ok: true });
|
||||
ok(mit.code === 200, `mit Häkchen kommt sie herein (${mit.code})`);
|
||||
ok(!!keks(mit), "und bekommt eine Sitzung");
|
||||
|
||||
const wann = alterVon(idKessi);
|
||||
ok(!!wann, `die Bestätigung steht in der Datenbank (${String(wann).slice(0, 16)})`);
|
||||
ok(Math.abs(Date.parse(wann) - Date.now()) < 120_000, "mit dem Zeitpunkt von jetzt");
|
||||
|
||||
const d = oeffne();
|
||||
const spur = d.prepare(
|
||||
"SELECT detail FROM protokoll WHERE aktion = 'alter_bestaetigt' AND person_id = ?").get(idKessi);
|
||||
d.close();
|
||||
ok(!!spur, "und im Protokoll");
|
||||
ok(/18/.test(spur?.detail || ""), `dort steht, gegen welche Zahl (${spur?.detail})`);
|
||||
}
|
||||
|
||||
/* =======================================================================
|
||||
3. BEIM ZWEITEN MAL WIRD NICHT WIEDER GEFRAGT
|
||||
|
||||
Die Frage, die man vergisst -- und an der so eine Abfrage im Alltag
|
||||
scheitert: Wer sie jedes Mal sieht, klickt sie weg, ohne sie zu
|
||||
lesen. Dann bestaetigt sie nichts mehr.
|
||||
======================================================================= */
|
||||
melde("");
|
||||
melde("=== 3. Nur einmal ===");
|
||||
{
|
||||
const vorher = alterVon(idKessi);
|
||||
const zweite = await post("/workspace/api/anmelden", CREW,
|
||||
{ rolle: "gast", code: "CODE-GAST-0001" });
|
||||
ok(zweite.code === 200, `ohne Häkchen, und trotzdem herein (${zweite.code})`);
|
||||
ok(!!keks(zweite), "mit Sitzung");
|
||||
ok(alterVon(idKessi) === vorher,
|
||||
"und der Zeitpunkt der Bestätigung bleibt der erste — er wird nicht überschrieben");
|
||||
|
||||
const d = oeffne();
|
||||
const spuren = d.prepare(
|
||||
"SELECT COUNT(*) AS n FROM protokoll WHERE aktion = 'alter_bestaetigt'").get().n;
|
||||
d.close();
|
||||
ok(spuren === 1, `und es steht genau einmal im Protokoll (${spuren})`);
|
||||
}
|
||||
|
||||
/* =======================================================================
|
||||
4. DAS TEAM WIRD NICHT GEFRAGT
|
||||
======================================================================= */
|
||||
melde("");
|
||||
melde("=== 4. Nur die Community ===");
|
||||
{
|
||||
const hand = await post("/workspace/api/anmelden", CREW,
|
||||
{ rolle: "hand", code: "CODE-HAND-0001" });
|
||||
ok(hand.code === 200, `die rechte Hand kommt ohne Häkchen herein (${hand.code})`);
|
||||
ok(alterVon(idRieke) === null,
|
||||
"und es wird nichts über ihr Alter gespeichert — sie wurde nie gefragt");
|
||||
|
||||
const chef = await post("/workspace/api/anmelden", HAUS,
|
||||
{ rolle: "admin", code: "CODE-DOGI-0001" });
|
||||
ok(chef.code === 200, `DogFather ebenso (${chef.code})`);
|
||||
}
|
||||
|
||||
/* =======================================================================
|
||||
5. DER REGELTEXT UND DIE TÜR NENNEN DIESELBE ZAHL
|
||||
|
||||
Bis heute standen sie an zwei Stellen. Ein Regeltext, der sich selbst
|
||||
widerspricht, ist rechtlich das Gegenteil dessen, wofuer er da ist.
|
||||
======================================================================= */
|
||||
melde("");
|
||||
melde("=== 5. Eine Zahl, nicht zwei ===");
|
||||
{
|
||||
const anm = await post("/workspace/api/anmelden", CREW,
|
||||
{ rolle: "gast", code: "CODE-GAST-0001" });
|
||||
const regeln = json(await hole("/workspace/api/treff/regeln", CREW, { cookie: keks(anm) }));
|
||||
ok(regeln.mindestalter === MINDESTALTER,
|
||||
`der Regeltext nennt ${regeln.mindestalter}`);
|
||||
|
||||
/* Und die Tuer nennt dieselbe -- gemessen an einem frischen Zugang,
|
||||
nicht behauptet. */
|
||||
const d = oeffne();
|
||||
const salt = randomBytes(16).toString("hex");
|
||||
const hash = scryptSync("CODE-NEU-00000001", salt, 64,
|
||||
{ N: 32768, r: 8, p: 1, maxmem: 96 * 1024 * 1024 }).toString("hex");
|
||||
const sch = d.prepare("SELECT wert FROM einstellungen WHERE schluessel = 'code_kennung_schluessel'").get().wert;
|
||||
d.prepare("INSERT INTO personen (name, rolle, code_hash, code_salt, code_n, code_kennung, aktiv, erstellt)"
|
||||
+ " VALUES ('Neu','gast',?,?,?,?,1,?)")
|
||||
.run(hash, salt, 32768, createHmac("sha256", sch).update("CODE-NEU-00000001").digest("hex"), jetzt);
|
||||
d.close();
|
||||
const tuer = await post("/workspace/api/anmelden", CREW,
|
||||
{ rolle: "gast", code: "CODE-NEU-00000001" });
|
||||
ok(json(tuer).mindestalter === regeln.mindestalter,
|
||||
`und die Tür dieselbe (${json(tuer).mindestalter})`);
|
||||
|
||||
/* GEGENPROBE zum Vergleich selbst: Zwei verschiedene Zahlen muessten
|
||||
auffallen -- sonst waere die Zeile darueber auch bei undefined gruen. */
|
||||
ok(regeln.mindestalter !== undefined && regeln.mindestalter !== null,
|
||||
"und beide Zahlen gibt es wirklich");
|
||||
}
|
||||
|
||||
/* =======================================================================
|
||||
6. DAS HÄKCHEN STEHT AN DER WAND — UND NUR DORT
|
||||
======================================================================= */
|
||||
melde("");
|
||||
melde("=== 6. An der Wand ===");
|
||||
{
|
||||
const { readFileSync } = await import("node:fs");
|
||||
const crew = readFileSync(new URL("../workspace/crew-index.html", import.meta.url), "utf8");
|
||||
const agentur = readFileSync(new URL("../workspace/index.html", import.meta.url), "utf8");
|
||||
ok(/id="alterfrage"/.test(crew), "die Wand von Team Dogi hat die Frage");
|
||||
ok(!/id="alterfrage"/.test(agentur),
|
||||
"die Agenturwand nicht — dort gibt es die Community-Kachel gar nicht");
|
||||
ok(/id="alter-zahl">18</.test(crew), "die Zahl steht als Vorgabe im Text");
|
||||
ok(/hidden/.test(crew.split('id="alterfrage"')[1].slice(0, 40)),
|
||||
"und sie ist zunächst verborgen — sie erscheint mit der Kachel");
|
||||
}
|
||||
|
||||
/* =======================================================================
|
||||
7. IM BROWSER: ERSCHEINT SIE, UND WIRKT SIE?
|
||||
======================================================================= */
|
||||
melde("");
|
||||
melde("=== 7. Im Browser ===");
|
||||
{
|
||||
const { chromium } = await import(
|
||||
"file:///C:/Users/qciga/Documents/Obelix/Analyse/node_modules/playwright/index.mjs");
|
||||
const browser = await chromium.launch();
|
||||
const kontext = await browser.newContext({ viewport: { width: 390, height: 844 } });
|
||||
const seite = await kontext.newPage();
|
||||
const konsole = [];
|
||||
seite.on("console", (m) => { if (m.type() === "error" && !/favicon|ERR_/i.test(m.text())) konsole.push(m.text()); });
|
||||
seite.on("pageerror", (e) => konsole.push("Absturz: " + e.message));
|
||||
|
||||
/* Die Crew-Wand haengt am Host-Kopf. Ueber 127.0.0.1 kommt die
|
||||
Agenturwand -- deshalb die Datei direkt ansehen ist keine Loesung.
|
||||
Playwright kann den Host-Kopf fuer Navigationen nicht setzen; also
|
||||
wird hier geprueft, was OHNE Server zu pruefen ist: das Verhalten
|
||||
der Kachelauswahl auf der ausgelieferten Seite. */
|
||||
await seite.goto(`http://127.0.0.1:${PORT}/workspace/crew-index.html`,
|
||||
{ waitUntil: "domcontentloaded" });
|
||||
await seite.waitForTimeout(400);
|
||||
|
||||
const start = await seite.evaluate(() => {
|
||||
const f = document.getElementById("alterfrage");
|
||||
return { da: !!f, verborgen: f?.hidden };
|
||||
});
|
||||
ok(start.da === true, "die Frage steht auf der ausgelieferten Seite");
|
||||
ok(start.verborgen === true, "und ist zu Beginn verborgen");
|
||||
|
||||
await seite.click('.rolle[data-rolle="gast"]');
|
||||
await seite.waitForTimeout(200);
|
||||
const nachGast = await seite.evaluate(() => document.getElementById("alterfrage")?.hidden);
|
||||
ok(nachGast === false, "nach dem Tippen auf „Community“ erscheint sie");
|
||||
|
||||
/* GEGENPROBE: bei einer anderen Kachel verschwindet sie wieder --
|
||||
sonst waere „erscheint" auch dann gruen, wenn sie immer da ist. */
|
||||
await seite.click('.rolle[data-rolle="modi"]');
|
||||
await seite.waitForTimeout(200);
|
||||
const nachModi = await seite.evaluate(() => document.getElementById("alterfrage")?.hidden);
|
||||
ok(nachModi === true, "bei einer anderen Kachel verschwindet sie wieder");
|
||||
|
||||
/* Und der Haken faellt dabei zurueck -- wer die Kachel wechselt, soll
|
||||
nicht mit einer Bestaetigung dastehen, die er fuer etwas anderes
|
||||
gesetzt hat. */
|
||||
await seite.click('.rolle[data-rolle="gast"]');
|
||||
await seite.check("#alter-ok");
|
||||
await seite.click('.rolle[data-rolle="modi"]');
|
||||
await seite.click('.rolle[data-rolle="gast"]');
|
||||
const haken = await seite.evaluate(() => document.getElementById("alter-ok")?.checked);
|
||||
ok(haken === false, "und ein gesetzter Haken fällt beim Wechseln zurück");
|
||||
|
||||
/* Beruehrziel: 24 px ist das Mindestmass nach WCAG 2.5.8. */
|
||||
const ziel = await seite.evaluate(() => {
|
||||
const z = document.querySelector(".alterfrage__zeile");
|
||||
if (!z) return null;
|
||||
const r = z.getBoundingClientRect();
|
||||
return { h: Math.round(r.height), w: Math.round(r.width) };
|
||||
});
|
||||
ok(ziel && ziel.h >= 40, `die Zeile ist ${ziel?.h} px hoch — ein Daumen trifft sie`);
|
||||
|
||||
ok(konsole.length === 0,
|
||||
konsole.length ? "Fehler im Browser: " + konsole[0].slice(0, 90) : "keine Fehler im Browser");
|
||||
await browser.close();
|
||||
}
|
||||
|
||||
/* ------------------------------------------------------------------- */
|
||||
melde("");
|
||||
melde(`${geprueft} Pruefungen, ${fehler} Fehler`);
|
||||
melde(fehler ? "NICHT IN ORDNUNG" : "ALLES IN ORDNUNG");
|
||||
try { rmSync(ordner, { recursive: true, force: true }); } catch { /* Aufraeumrest */ }
|
||||
process.exit(fehler ? 1 : 0);
|
||||
@@ -136,7 +136,11 @@ function post(pfad, host, kopf, koerper) {
|
||||
}
|
||||
const json = (a) => { try { return JSON.parse(a.text); } catch { return {}; } };
|
||||
async function anmelden(rolle, code, host) {
|
||||
const r = await post("/workspace/api/anmelden", host, {}, { rolle, code });
|
||||
/* Die Community bestaetigt beim ersten Mal ihr Alter (seit 15.09.2026).
|
||||
Nur fuer 'gast' -- fuer alle anderen muss der Server das Feld gar
|
||||
nicht erst sehen. */
|
||||
const r = await post("/workspace/api/anmelden", host, {},
|
||||
rolle === "gast" ? { rolle, code, alter_ok: true } : { rolle, code });
|
||||
return [].concat(r.kopf?.["set-cookie"] || []).map((c) => c.split(";")[0]).join("; ");
|
||||
}
|
||||
const kDogi = await anmelden("admin", "CODE-DOGI-0001", HAUS);
|
||||
|
||||
@@ -110,7 +110,10 @@ function roh(pfad, kopf = {}, koerper = null, methode = null) {
|
||||
}
|
||||
|
||||
/* Eine Meldung und eine Maßnahme anlegen -- über die echten Wege. */
|
||||
const anm = await roh("/workspace/api/anmelden", {}, { rolle: "gast", code: "CODE-GAST-0001" });
|
||||
/* alter_ok: Die Tuer fragt die Community seit dem 15.09.2026 beim
|
||||
ersten Hereinkommen nach dem Alter. */
|
||||
const anm = await roh("/workspace/api/anmelden", {},
|
||||
{ rolle: "gast", code: "CODE-GAST-0001", alter_ok: true });
|
||||
const kGast = [].concat(anm.kopf?.["set-cookie"] || []).map((c) => c.split(";")[0]).join("; ");
|
||||
const anm2 = await roh("/workspace/api/anmelden", {}, { rolle: "admin", code: "CODE-DOGI-0001" });
|
||||
const kDogi = [].concat(anm2.kopf?.["set-cookie"] || []).map((c) => c.split(";")[0]).join("; ");
|
||||
|
||||
@@ -146,7 +146,11 @@ function roh(pfad, host, kopf = {}, koerper = null, methode = null) {
|
||||
}
|
||||
const json = (a) => { try { return JSON.parse(a.text); } catch { return {}; } };
|
||||
async function anmelden(rolle, code, host) {
|
||||
const r = await roh("/workspace/api/anmelden", host, {}, { rolle, code });
|
||||
/* Die Community bestaetigt beim ersten Mal ihr Alter (seit 15.09.2026).
|
||||
Nur fuer 'gast' -- fuer alle anderen muss der Server das Feld gar
|
||||
nicht erst sehen. */
|
||||
const r = await roh("/workspace/api/anmelden", host, {},
|
||||
rolle === "gast" ? { rolle, code, alter_ok: true } : { rolle, code });
|
||||
const kekse = [].concat(r.kopf?.["set-cookie"] || []);
|
||||
return kekse.map((c) => c.split(";")[0]).join("; ");
|
||||
}
|
||||
|
||||
@@ -130,7 +130,11 @@ function roh(pfad, host, kopf = {}, koerper = null, methode = null) {
|
||||
});
|
||||
}
|
||||
async function anmelden(rolle, code, host) {
|
||||
const r = await roh("/workspace/api/anmelden", host, {}, { rolle, code });
|
||||
/* Die Community bestaetigt beim ersten Mal ihr Alter (seit 15.09.2026).
|
||||
Nur fuer 'gast' -- fuer alle anderen muss der Server das Feld gar
|
||||
nicht erst sehen. */
|
||||
const r = await roh("/workspace/api/anmelden", host, {},
|
||||
rolle === "gast" ? { rolle, code, alter_ok: true } : { rolle, code });
|
||||
const kekse = [].concat(r.kopf?.["set-cookie"] || []);
|
||||
return { keks: kekse.map((c) => c.split(";")[0]).join("; "), code: r.code };
|
||||
}
|
||||
|
||||
@@ -152,3 +152,17 @@ export function treffSperreLesen(d, personId) {
|
||||
}
|
||||
return null;
|
||||
}
|
||||
|
||||
/* =====================================================================
|
||||
DAS MINDESTALTER (Entscheidung Filipe, 11.09.2026: 18 Jahre)
|
||||
|
||||
Nach DSGVO Art. 8 waere ab 16 erlaubt. Der Treff gehoert aber zu
|
||||
einem Stream fuer Erwachsene, und dort ist die Frage nicht, was
|
||||
erlaubt ist, sondern wen man hereinlaesst.
|
||||
|
||||
ES STEHT IN DIESEM BLATT, weil zwei Stellen es brauchen: der
|
||||
Regeltext (workspace-treff.js) und seit dem 15.09.2026 die Tuer
|
||||
selbst (workspace.js). Ein Import zwischen den beiden waere ein
|
||||
Kreis -- deshalb liegt die Zahl dort, wo beide hinsehen duerfen.
|
||||
===================================================================== */
|
||||
export const MINDESTALTER = 18;
|
||||
|
||||
@@ -45,6 +45,32 @@ import {
|
||||
|
||||
export const aufbewahrungRouter = express.Router();
|
||||
|
||||
/** Auf welcher Grundlage die Daten eines Menschen verarbeitet werden.
|
||||
*
|
||||
* ABGELEITET, NICHT GESPEICHERT. Ein Modi arbeitet hier — das ist ein
|
||||
* Vertragsverhaeltnis. Ein Mitglied der Community ist freiwillig da —
|
||||
* das ist eine Einwilligung. Die Grundlage folgt damit aus der Rolle,
|
||||
* und was sich ableiten laesst, bekommt keine eigene Spalte: Sonst
|
||||
* gaebe es zwei Wahrheiten, von denen eine veraltet, sobald jemand
|
||||
* die Rolle wechselt.
|
||||
*
|
||||
* Gebraucht wird sie an zwei Stellen: in der Auskunft (Art. 15 Abs. 1
|
||||
* lit. a — der Mensch darf den Zweck erfahren) und im Loeschkonzept. */
|
||||
export function grundlageVon(rolle) {
|
||||
if (rolle === "gast") {
|
||||
return {
|
||||
grundlage: "Art. 6 Abs. 1 lit. a DSGVO – Einwilligung",
|
||||
warum: "Du bist freiwillig im Treff. Du kannst jederzeit gehen, und deine "
|
||||
+ "Daten gehen mit.",
|
||||
};
|
||||
}
|
||||
return {
|
||||
grundlage: "Art. 6 Abs. 1 lit. b DSGVO – zur Durchführung des Vertrags",
|
||||
warum: "Du arbeitest hier. Ohne diese Daten lässt sich die Zusammenarbeit "
|
||||
+ "nicht durchführen.",
|
||||
};
|
||||
}
|
||||
|
||||
/** Wie lange IP-Adressen im Protokoll stehen bleiben.
|
||||
*
|
||||
* 30 Tage: lang genug, um einen Missbrauch nachzuvollziehen, den man
|
||||
@@ -130,6 +156,20 @@ export const FRISTEN = [
|
||||
+ "Maßnahme mit (ON DELETE CASCADE).",
|
||||
offen: (d) => zaehle(d, "SELECT COUNT(*) AS n FROM treff_massnahmen"),
|
||||
},
|
||||
{
|
||||
schluessel: "alter_bestaetigt",
|
||||
was: "Der Zeitpunkt der Altersbestätigung (Community)",
|
||||
art: "bleibt",
|
||||
frist: "solange der Zugang besteht",
|
||||
zweck: "Nachweisen können, dass das Mindestalter bestätigt wurde – "
|
||||
+ "eine Regel, die man nicht belegen kann, hat man nicht.",
|
||||
grundlage: "Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an Nachweisbarkeit",
|
||||
wirkung: "Gespeichert wird NUR der Zeitpunkt, kein Geburtsdatum. Für die Frage "
|
||||
+ "„hat bestätigt, und wann?“ reicht das – ein Geburtstag wären mehr Daten "
|
||||
+ "für dieselbe Auskunft.",
|
||||
offen: (d) => zaehle(d,
|
||||
"SELECT COUNT(*) AS n FROM personen WHERE alter_bestaetigt_am IS NOT NULL"),
|
||||
},
|
||||
{
|
||||
schluessel: "personen_geloescht",
|
||||
was: "Daten einer gelöschten Person",
|
||||
|
||||
@@ -44,6 +44,7 @@
|
||||
|
||||
import express from "express";
|
||||
import { db, sitzungLesen, istDogFather, protokolliere, echteIp } from "./workspace.js";
|
||||
import { grundlageVon } from "./workspace-aufbewahrung.js";
|
||||
|
||||
export const auskunftRouter = express.Router();
|
||||
|
||||
@@ -165,8 +166,15 @@ export function auskunft(personId) {
|
||||
}
|
||||
}
|
||||
|
||||
/* WARUM WIR DIESE DATEN HABEN, gehoert in dieselbe Datei wie die
|
||||
Daten -- Art. 15 Abs. 1 lit. a. Eine Auskunft, die nur auflistet,
|
||||
beantwortet die halbe Frage. */
|
||||
const wozu = grundlageVon(person.rolle);
|
||||
|
||||
return {
|
||||
stand: new Date().toISOString(),
|
||||
grundlage: wozu.grundlage,
|
||||
grundlage_warum: wozu.warum,
|
||||
person: zeileSaeubern(person, personId, []),
|
||||
hinweis: "Zugangsgeheimnisse (Hash, Salt, Kennung) sind absichtlich nicht enthalten. "
|
||||
+ "Wo in einer Zeile eine andere Person steht, ist sie als „eine andere Person“ "
|
||||
|
||||
@@ -406,13 +406,19 @@ treffRouter.get("/workspace/api/treff/lage", (req, res) => {
|
||||
|
||||
/* ---------- Die Regeln ------------------------------------------------ */
|
||||
|
||||
/* DAS MINDESTALTER (Entscheidung Filipe, 11.09.2026: 18 Jahre).
|
||||
/* DAS MINDESTALTER steht seit dem 15.09.2026 in treff-tabellen.js --
|
||||
dem importfreien Blatt. Grund: Seit die Tuer (workspace.js) es
|
||||
ebenfalls prueft, brauchen es zwei Dateien, die einander nicht
|
||||
importieren duerfen. Hier nur weitergereicht, damit der Regeltext
|
||||
unveraendert dieselbe Zahl bekommt.
|
||||
|
||||
In Luxemburg liegt die Grenze der DSGVO Art. 8 bei 16 — es waere also
|
||||
erlaubt, ab 16 hereinzulassen. Der Treff gehoert aber zu einem Stream
|
||||
fuer Erwachsene, und dort ist die Frage nicht, was erlaubt ist,
|
||||
sondern wen man hereinlaesst. */
|
||||
export const MINDESTALTER = 18;
|
||||
EINFUEHREN UND WEITERREICHEN, nicht nur weiterreichen: `export { X }
|
||||
from "..."` macht den Namen fuer IMPORTEURE sichtbar, legt ihn aber
|
||||
NICHT in dieser Datei an. Die Regelroute unten benutzt ihn selbst --
|
||||
sie lief damit in einen ReferenceError, und zwar erst beim Aufruf.
|
||||
Gefunden von pruef-alter, nicht vom Auge. */
|
||||
import { MINDESTALTER } from "./treff-tabellen.js";
|
||||
export { MINDESTALTER };
|
||||
|
||||
/* WARUM DER REGELTEXT SEINE ZAHLEN VOM SERVER HOLT.
|
||||
|
||||
|
||||
+61
-1
@@ -31,7 +31,7 @@ import { darfSeite, OHNE_ANMELDUNG, seitenFuer } from "./rechte.js";
|
||||
/* Ein Modul ohne eigene Importe -- deshalb entsteht hier kein Kreis,
|
||||
obwohl workspace-treff.js seinerseits aus dieser Datei importiert.
|
||||
Begruendung im Kopf von treff-tabellen.js. */
|
||||
import { treffTabellen, treffSperreLesen } from "./treff-tabellen.js";
|
||||
import { treffTabellen, treffSperreLesen, MINDESTALTER } from "./treff-tabellen.js";
|
||||
import { sitzungPasstZurAdresse, istOhneModiAdresse, istCrewAdresse, istPruefAdresse, AUSSEN_ROLLEN,
|
||||
TEAM_DOGI_ROLLEN } from "./crew-adresse.js";
|
||||
/* Weitergereicht, damit die Fachmodule sie wie alles andere aus
|
||||
@@ -2027,6 +2027,26 @@ function umstellungen(d) {
|
||||
bei antwort_auf weiter oben. */
|
||||
["chat_nachrichten", "angeheftet_am", "TEXT"],
|
||||
["chat_nachrichten", "angeheftet_von", "INTEGER"],
|
||||
|
||||
/* DAS BESTAETIGTE ALTER (15.09.2026, Stufe 8).
|
||||
|
||||
Auf der Regelseite des Treffs steht seit dem 11.09. "ab 18" --
|
||||
und geprueft wurde es nirgends. Eine Regel, die nur dasteht, ist
|
||||
keine; im Streitfall ist sie sogar schlechter als keine, weil man
|
||||
sie versprochen hat.
|
||||
|
||||
NUR EIN ZEITSTEMPEL, KEIN GEBURTSDATUM. Gebraucht wird die
|
||||
Antwort auf "hat bestaetigt, alt genug zu sein, und wann" --
|
||||
nicht der Geburtstag. Ein Geburtsdatum waere mehr Daten fuer
|
||||
dieselbe Auskunft, und Datenminimierung (Art. 5 Abs. 1 lit. c)
|
||||
gilt auch fuer das eigene Nachweisbeduerfnis.
|
||||
|
||||
WARUM KEINE SPALTE FUER DIE RECHTSGRUNDLAGE: Sie folgt aus der
|
||||
Rolle -- ein Modi arbeitet hier (Vertrag), ein Community-Mitglied
|
||||
ist freiwillig da (Einwilligung). Was sich ableiten laesst, wird
|
||||
nicht gespeichert; sonst haette man zwei Wahrheiten, von denen
|
||||
eine veraltet. Siehe grundlageVon() in workspace-aufbewahrung.js. */
|
||||
["personen", "alter_bestaetigt_am", "TEXT"],
|
||||
]) {
|
||||
try {
|
||||
const vorhanden = d.prepare(`PRAGMA table_info(${tabelle})`).all().map((s) => s.name);
|
||||
@@ -4058,6 +4078,46 @@ workspaceRouter.post("/workspace/api/anmelden", (req, res) => {
|
||||
return res.status(401).json({ fehler: "ungueltig" });
|
||||
}
|
||||
|
||||
/* ================================================================
|
||||
DAS ALTER WIRD AN DER TUER BESTAETIGT (15.09.2026)
|
||||
|
||||
Die Regelseite verspricht "ab 18". Bis heute war das ein Satz.
|
||||
Jetzt ist es eine Bedingung -- einmal, beim ersten Hereinkommen,
|
||||
und danach nie wieder.
|
||||
|
||||
WARUM AN DER TUER UND NICHT AUF EINER SEITE DAHINTER: Eine Sperre
|
||||
auf den Brettern liesse sich durch eine andere Adresse umgehen,
|
||||
und sie muesste auf jeder kuenftigen Seite mitgedacht werden. Die
|
||||
Tuer gibt es genau einmal.
|
||||
|
||||
WARUM EIN EIGENER FEHLER UND NICHT "ungueltig": Hier ist der Code
|
||||
richtig. Wer dieselbe Antwort bekaeme wie bei einem Tippfehler,
|
||||
wuerde seinen Code neu eintippen -- immer wieder, und es wuerde
|
||||
nie besser. Das ist nicht dieselbe Lage und darf nicht dieselbe
|
||||
Antwort sein.
|
||||
|
||||
NUR FUER DIE COMMUNITY: Wer zum Team gehoert, hat einen Zugang
|
||||
von DogFather persoenlich bekommen -- da ist die Frage vorher
|
||||
geklaert und eine Kachel an der Tuer nur im Weg. */
|
||||
if (AUSSEN_ROLLEN.has(gefunden.rolle)) {
|
||||
const bestaetigt = db().prepare(
|
||||
"SELECT alter_bestaetigt_am FROM personen WHERE id = ?").get(gefunden.id)?.alter_bestaetigt_am;
|
||||
if (!bestaetigt) {
|
||||
if (req.body?.alter_ok !== true) {
|
||||
/* KEIN Eintrag in `versuche`: Das war kein Fehlversuch. Wer
|
||||
hier landet, hat den richtigen Code -- ihn nach acht
|
||||
Anlaeufen auszusperren waere absurd. */
|
||||
return res.status(400).json({ fehler: "alter_offen", mindestalter: MINDESTALTER });
|
||||
}
|
||||
db().prepare("UPDATE personen SET alter_bestaetigt_am = ? WHERE id = ?")
|
||||
.run(jetzt(), gefunden.id);
|
||||
protokolliere("alter_bestaetigt", {
|
||||
personId: gefunden.id, rolle: gefunden.rolle, ip,
|
||||
detail: `mindestens ${MINDESTALTER}`,
|
||||
});
|
||||
}
|
||||
}
|
||||
|
||||
db().prepare("DELETE FROM versuche WHERE ip = ?").run(ip);
|
||||
db().prepare("UPDATE personen SET letzter_login = ? WHERE id = ?").run(jetzt(), gefunden.id);
|
||||
sitzungSetzen(res, gefunden, req);
|
||||
|
||||
Reference in New Issue
Block a user