Changeset 2220c49 in Klonkt

Timestamp:

08/08/2026 05:18:51 AM (5 weeks ago)

Author:

Robin <roboburr@…>

Branches:

main

Children:

ffb371c

Parents:

47ca083

git-author:

Robin <roboburr@…> (08/08/2026 05:16:55 AM)

git-committer:

Robin <roboburr@…> (08/08/2026 05:18:51 AM)

Message:

Twee dichte deuren in de ontdekking opengezet

Gevonden bij het nalopen van waarom Funkwhale dev niet vond via zijn zoekbalk.
Die zoekbalk bleek gewoon lokaal -- onze kant antwoordde correct -- maar
onderweg stonden er twee deuren dicht die een andere client wel gebruikt.

HOST-META gaf 404. Dat is de klassieke eerste stap van WebFinger (RFC 6415):
een client die het webfinger-pad niet wil raden, vraagt daar de sjabloon op.
Kreeg hij bij ons een 404, dan gaf hij het op -- terwijl de webfinger eronder
prima werkte. Nu in beide vormen: XRD en JRD, want allebei worden gevraagd.

WEBFINGER WAS STRENG in wat hij accepteerde. Alleen acct:naam@host; al het
andere een 400, ook als we prima wisten wie er bedoeld werd. Nu ook zonder
schema en met het apenstaartje dat mensen intypen. Coulant zijn kost hier
niets: het antwoord noemt altijd de canonieke acct:-vorm terug, dus een
slordige vraag levert geen slordig antwoord.

WAT IK BEWUST NIET HEB GEDAAN. Ik had er ook de actor-URI als resource bij
gezet -- Mastodon accepteert die -- tot de suite me op mijn vingers tikte:
test/webfinger-bare-host.test.js legt vast dat juist die vorm een 400 hoort te
geven. Dat is een uitgesproken keuze van eerder, geen vergetelheid, en die
draai ik niet om als bijvangst van een coulance-fix. De tak is eruit en er
staat nu een test die de 400 vastlegt, met de reden erbij.

8 tests.

Co-Authored-By: Claude Opus 5 <noreply@…>

Files:

• src/routes/activitypub.js (modified) (1 diff)
• test/webfinger-hostmeta.test.js (added)

src/routes/activitypub.js

@@ -57 +57 @@
 };
 
+// ── host-meta ─────────────────────────────────────────────────────
+// De klassieke eerste stap van WebFinger (RFC 6415): een client die het
+// webfinger-pad niet wil raden, vraagt hier de sjabloon op. Mastodon serveert
+// dit ook, en een client die ermee begint kreeg bij ons een 404 en gaf het dan
+// op -- terwijl de webfinger eronder gewoon werkte.
+//
+// Twee vormen, want beide worden in het wild gevraagd: XRD (het origineel) en
+// JRD (de JSON-variant, RFC 6415 §3).
+const lrddSjabloon = (req) => `${baseUrl(req)}/.well-known/webfinger?resource={uri}`;
+
+router.get('/.well-known/host-meta', (req, res) => {
+  res.type('application/xrd+xml; charset=utf-8');
+  res.set('Cache-Control', 'public, max-age=86400');
+  res.send(`<?xml version="1.0" encoding="UTF-8"?>
+<XRD xmlns="http://docs.oasis-open.org/ns/xri/xrd-1.0">
+  <Link rel="lrdd" template="${lrddSjabloon(req)}"/>
+</XRD>`);
+});
+
+router.get('/.well-known/host-meta.json', (req, res) => {
+  res.type('application/jrd+json; charset=utf-8');
+  res.set('Cache-Control', 'public, max-age=86400');
+  res.send(JSON.stringify({ links: [{ rel: 'lrdd', template: lrddSjabloon(req) }] }));
+});
+
 // ── WebFinger ─────────────────────────────────────────────────────
+/**
+ * De `resource` uitpakken tot de gebruiker die bedoeld wordt.
+ *
+ * RFC 7033 schrijft een URI voor, en `acct:` is de nette vorm -- maar in het
+ * wild komen er vier spellingen langs, en drie daarvan wezen we af met een 400
+ * terwijl we prima wisten wie er bedoeld werd:
+ *
+ *   acct:naam@host      de nette vorm (Mastodon stuurt altijd deze)
+ *   naam@host           zonder schema
+ *   @naam@host          met het apenstaartje dat mensen intypen
+ *
+ * Coulant zijn kost hier niets: het antwoord noemt altijd de canonieke
+ * `acct:`-vorm terug, dus een slordige vraag levert geen slordig antwoord.
+ *
+ * De ACTOR-URI als resource (die Mastodon ook accepteert) hoort hier NIET bij,
+ * bewust: test/webfinger-bare-host.test.js legt vast dat die een 400 geeft.
+ * Dat is een uitgesproken keuze van eerder en geen vergetelheid, dus die draai
+ * ik niet om als bijvangst van een coulance-fix.
+ */
+function webfingerGebruiker(resource) {
+  const r = String(resource || '').trim();
+  if (!r) return null;
+  const acct = r.match(/^(?:acct:)?@?([^@/]+)@(.+)$/i);
+  return acct ? acct[1] : null;
+}
+
 router.get('/.well-known/webfinger', (req, res) => {
-  const m = String(req.query.resource || '').match(/^acct:([^@]+)@(.+)$/i);
-  if (!m) return res.status(400).type('text/plain').send('bad resource');
-  const user = m[1];
+  const user = webfingerGebruiker(req.query.resource);
+  if (!user) return res.status(400).type('text/plain').send('bad resource');
   let site = publicSite(user);
   // `acct:<host>@<host>` asks for this server's primary actor — the convention