Changeset 1019a90 in Klonkt for src/services/ActivityPubService.js

Timestamp:

08/16/2026 06:01:30 PM (3 weeks ago)

Author:

Robin <roboburr@…>

Branches:

main

Children:

d97c58c

Parents:

a5caa73

Message:

Een betaalde post verloor zijn waarschuwing, en een test die dat vastlegt

Barts melding (15-8): ​https://boiert.eu/we-should-explore-at-least-something was
bij een volger opeens volledig te lezen toen de outbox werd opgehaald.

NAGEMETEN, en het ligt anders dan het lijkt. Die post staat met 4555 tekens
volledig in de PUBLIEKE outbox -- ik haalde hem onbetekend op, dus niet alleen
volgers zien hem. Maar hij draagt sensitive: true en
summary: "Smut Lewd, and PAID..", en juist DAT bewijst dat de paid-tak niet
genomen is: die tak liet allebei die velden vallen. De post is dus niet als
paid gemarkeerd -- "PAID" staat in de waarschuwingstekst, en dat is tekst,
geen poort.

De redactie zelf werkt wel. Vier van de vijf nieuwe tests slaagden meteen: een
betaalde post lekt zijn inhoud niet via buildNote, niet via de outbox, en ook
niet voor een VRIEND. Dat laatste is het antwoord op Barts vraag: fan_only laat
posts mee voor iedere volger (outboxAudience geeft 'friend' aan elke rij in
ap_followers), maar de paid-redactie kent geen publiek -- het object zelf is een
teaser, voor iedereen.

WAT ER WEL STUK WAS: de vroege return zette sensitive en summary niet, want
die worden pas na de gewone tak toegevoegd. Een betaalde post met een
waarschuwing ging dus ZONDER waarschuwing de deur uit -- en de teaser is
publiek, dus juist die had hem nodig. Een gevoelige teaser zonder vlag is erger
dan geen teaser.

Vijf tests, waaronder een tegenproef zodat ze niet slagen door alles dicht te
gooien. Gecontroleerd dat ze bijten: reparatie eruit -> 4 groen 1 rood.

WAT DIT NIET OPLOST, en dat hoort erbij: de bescherming hangt aan EEN vroege
return in buildNote. Elk pad dat post.content serveert zonder buildNote lekt
meteen en zonder foutmelding. De drie paden die een lezer heeft (outbox,
/ap/notes/:id, thread) gaan er nu langs; die tests staan er nu op. En het blijft
zo dat "PAID" in een waarschuwingstekst niets doet -- als dat vaker gebeurt is
dat een UI-vraag, niet een bug.

Co-Authored-By: Claude Opus 5 <noreply@…>

File:

• src/services/ActivityPubService.js (modified) (1 diff)

src/services/ActivityPubService.js

@@ -581 +581 @@
       tag: [...hashtagTags(base, post.content)],
       replies: `${id}/replies`,
+      // DE WAARSCHUWING REIST MEE (Barts melding, 15-8). Deze vroege return liet
+      // `sensitive` en `summary` vallen, want die worden pas na de gewone tak
+      // gezet. Gevolg: een betaalde post met een waarschuwing ging ZONDER die
+      // waarschuwing de deur uit -- en de teaser is publiek, dus juist die had
+      // hem nodig. Een gevoelige teaser zonder vlag is erger dan geen teaser.
+      sensitive: !!post.nsfw,
+      ...(post.nsfw ? { summary: post.content_warning || 'Gevoelige inhoud' } : {}),
       ...Guardianship.hasGuardiansProps(site.slug),
     };