Der Auftrag ist damit fertig: Im Agentur-Bereich gibt es ein Feld, in
das die ganze Einladungsnachricht eingefuegt wird -- und daraus
entsteht eine Agentur-Event-Kachel mit Titel, Zeitraum, Banner,
Aufgaben zum Abhaken, Regeln, Ligen und Preisen. Gemessen 38 ms vom
Einfuegen bis zur Kachel.
ETAPPE 2 -- DER WEG NACH DRAUSSEN (helfer-tiktok.mjs)
linkAusText holt die Adresse aus dem Fliesstext, damit niemand sie
heraussuchen muss. folgeUmleitung geht Sprung fuer Sprung
(redirect "manual", hoechstens fuenf) und schickt JEDE
Zwischenadresse durch istTikTok -- bisher folgte holeMitFrist den
Umleitungen selbst, und istTikTok hatte nur die EINGABE gesehen.
Das ist die einzige Stelle im Haus, an der unser Server eine
fremdbestimmte Adresse abruft.
holeSeite zieht die Grenze von 3 MB BEIM LESEN, nicht hinterher: Wer
arrayBuffer() abwartet und dann die Laenge ansieht, hat die 50 MB
schon im Speicher. Frist 12 s statt 8 -- gemessen 750 ms allein beim
Ursprungsserver, dazu 1,1 MB Uebertragung.
bildAdresseErlaubt kam beim Bauen dazu, nicht aus dem Bauplan: Die
Banneradresse steht in der Seite, die TikTok ausliefert, ist also
FREMDBESTIMMT. Ohne Schranke wuerde unser Server abrufen, was dort
steht -- auch http://127.0.0.1:4100/ oder 169.254.169.254. Elf
Faelle durchgemessen.
ETAPPE 3 -- DIE ROUTE (workspace-kampagne.js, 5 Spalten, 1 Index)
Rechte aus istLeitung, nicht neu erfunden. Bremse 20 je Stunde, VOR
dem ersten Abruf nach draussen -- eine Bremse hinter dem Abruf
bremst den fremden Server nicht. Dublettenpruefung zweimal: im Code
(faengt den Normalfall) und als eindeutiger Index (faengt den
Wettlauf zweier gleichzeitiger Aufrufe).
'kampagne_schon_da' zaehlt bei der Bremse MIT (gefunden von der
Pruefung): Zuerst zaehlten nur Erfolg und Fehlschlag -- wer denselben
Link wieder und wieder einfuegt, bekommt jedes Mal "schon da" und
loeste jedes Mal einen Abruf aus, ohne gezaehlt zu werden. Gemessen:
21 Versuche, 0 gebremst.
Der Regeltext wird SICHTBAR gekuerzt, an einer Abschnittsgrenze.
Gipfelstuermer ergibt 7474 Zeichen, das Feld fasst 6000 (TEXT_MAX),
und die PUT-Route lehnt mehr ab: Ungekuerzt entstuende eine Kachel,
die DogFather OEFFNEN, aber nicht SPEICHERN kann -- er aendert ein
Wort und bekommt eine Fehlermeldung ueber etwas, das er nie getippt
hat. Verloren geht nichts: kampagne_daten traegt das Gelesene
gegliedert.
ETAPPE 4 -- DIE OBERFLAECHE
Ein Textbereich (die Einladung ist mehrzeilig), der Knopf gibt sich
nach 15 s von selbst frei, die Meldung steht neben dem Feld und
nennt den Grund im Klartext. Ob jemand darf, sagt der Server ueber
darf_kampagne_einlesen in /api/ich -- keine Rollenliste im Browser.
Gemessen auf 412 und 1280 px (bild-kampagne.mjs, 20 Messungen):
Knopf 44 px, Kontrast 7,68:1, nichts liegt auf dem Knopf, kein
Ueberlauf, keine Bewegung bei prefers-reduced-motion. Die
Antwortzeile steht auf .9rem statt der hausweiten .76rem -- dort
erscheint, was der Server geantwortet hat, und eine Fehlermeldung in
12 px liest niemand zweimal. Die hausweite Klasse bleibt unberuehrt.
VIERZEHN SABOTAGEN, VIERZEHN TREFFER
Sieben an kampagne-lesen.mjs (Etappe 1) und sieben an Route und Weg:
Umleitung ungeprueft folgen, Tag nach Serverzeit, Dublettenpruefung
weglassen, dem fremden Server den Bildtyp glauben, Bremse
abschalten, Bremse wieder blind fuer Dubletten, jeden einlesen
lassen. Jede wurde bemerkt, jede im erwarteten Abschnitt.
EINE BLIEB ZUERST BLIND, und das war lehrreich: Nimmt man die
Dublettenpruefung aus dem Code, faengt der INDEX es auf -- die
Antwort ist dieselbe, die Pruefung blieb gruen. Kein Schaden, aber
ein blinder Fleck. Jetzt unterscheidet die Pruefung am
Protokolltext, WELCHE der beiden Sicherungen gegriffen hat.
VIER VORBESTEHENDE BEFUNDE MIT ERLEDIGT
willkommen.html hatte kein theme-color, kein Manifest, kein
apple-touch-icon. Drei Zeilen sind billiger und haltbarer als eine
Ausnahme in der Pruefung.
workspace-anleitung.js bildete den Tag "ab wann geht mehr" aus UTC.
Wer zwischen 00:00 und 02:00 beitritt, bekam einen Termin, der einen
Tag zu frueh war. workspace.js hat dafuer jetzt tagLokalVon(zeitpunkt,
versatz) -- und tagLokal ist nur noch ein Aufruf davon. Es gibt also
WENIGER Rechenwege als vorher, nicht mehr.
pruef-anleitung.mjs legte Testdaten auf den UTC-Tag und waere
zwischen 00:00 und 02:00 rot gewesen, ohne dass etwas kaputt ist.
mess-anleitung-crew.mjs rechnete seinen zweiten Port als PORT + 1.
Das sieht aus wie eine Ableitung und ist keine: portNummer
ueberspringt gesperrte Nummern, und dann gehoert PORT + 1 der
naechsten DATEI.
pruef-struktur ist damit zum ersten Mal vollstaendig gruen.
GEPRUEFT (alle gruen, keine Zahl gesunken)
pruef-kampagne 96 (neu) · pruef-kampagne-lesen 108 · pruef-video 74 ·
pruef-eventkarte 94 · pruef-agentur 62 · pruef-anleitung 196 ·
pruef-portnummern 41 (war 40 mit einem Fehler) · pruef-struktur,
pruef-zeichen 8, pruef-ports 10, pruef-buehnen-fest 13,
pruef-css-klassen 39, pruef-haus-trennung 107, pruef-lesbarkeit,
pruef-tippziele, pruef-deutsche-texte 12, pruef-formulare,
pruef-fingermass 5, pruef-workspace-seiten, pruef-tempo-workspace
Co-Authored-By: Claude Opus 5 <[email protected]>
DogFatherGitandClaude Opus 5
10e24b0c93