Changeset 192fe28 in Klonkt

Timestamp:

08/18/2026 06:52:42 PM (3 weeks ago)

Author:

Bart <bart@…>

Branches:

main

Children:

8501ee8

Parents:

d85b66f

Message:

Toets waar de eigenaarspoort en de fanpoort elkaar raken

Robins approve_followers houdt een Follow vast in ap_pending_follows tot de
eigenaar op /connect ja zegt; pas dan komt hij in ap_followers. Onze fanpoort
leest ap_followers, dus een wachtend verzoek opent niets.

Dat klopt vandaag vanzelf -- geen van beide functies wist van de ander -- en
juist daarom staat het nu vast. Wie de poort ooit "soepeler" maakt door ook
wachtende verzoeken mee te tellen, geeft daarmee toegang aan iedereen die op
Volgen klikte, precies wat de eigenaarspoort moest voorkomen.

Co-Authored-By: Claude Opus 5 <claude@…>

File:

• test/openwebauth.test.js (modified) (1 diff)

test/openwebauth.test.js

@@ -171 +171 @@
 });
 
+test('een WACHTEND volgverzoek opent de fanpoort niet', () => {
+  // Waar twee functies elkaar raken, en geen van beide dat wist.
+  //
+  // Met approve_followers aan (Robins eigenaarspoort) wordt een Follow niet meer
+  // automatisch geaccepteerd: hij wacht in ap_pending_follows tot de eigenaar op
+  // /connect ja zegt, en pas dan komt hij in ap_followers. Onze fanpoort leest
+  // ap_followers, dus een verzoek dat nog wacht hoort NIETS te openen.
+  //
+  // Dat klopt vandaag vanzelf, en juist daarom staat het hier vast: wie de poort
+  // ooit "soepeler" maakt door ook wachtende verzoeken mee te tellen, geeft
+  // daarmee iedereen toegang die op Volgen heeft geklikt -- precies wat de
+  // eigenaarspoort moest voorkomen.
+  const WACHTEND = 'https://elders.example/users/wachtend';
+  db.prepare("INSERT INTO ap_pending_follows (id, ward_slug, follower_uri, quorum, status) VALUES (?,?,?,'owner','pending')")
+    .run('pf-1', 'kid', WACHTEND);
+  assert.equal(OWA.isFollowerOf('kid', WACHTEND), false, 'wachten is niet volgen');
+});
+
 test('een sessie zonder bewijs levert geen actor', () => {
   assert.equal(OWA.guestActor(null), null);