Changeset 26c5f71 in Klonkt

Timestamp:

08/02/2026 07:23:10 AM (5 weeks ago)

Author:

Bart <bart@…>

Branches:

main

Children:

679924e

Parents:

17546af

git-author:

Bart <bart@…> (08/02/2026 07:20:46 AM)

git-committer:

Bart <bart@…> (08/02/2026 07:23:10 AM)

Message:

WebFinger: een kale host vindt de primaire actor

acct:<host>@<host> is hoe Shaer een Ward adresseert zonder iemands slug te
kennen, maar WebFinger zocht het gebruikersdeel alleen op als site-slug. Een
kale host gaf dus altijd een 404, hoe je hem ook spelde.

Daarbovenop: 🩵.is.wildenvrij.nl en xn--zz9h.is.wildenvrij.nl zijn één host.
Een geplakte URL wordt door elke URL-parser stil gepunycode, een getypte
handle niet. asciiHost() vergelijkt via WHATWG URL, dus beide spellingen
komen bij dezelfde actor uit, en PUBLIC_BASE_URL mag ook beide vormen.

Zes tests, waarvan twee de terugval bewaken: een onbekende gebruiker blijft
404 en een kale host die niet van ons is ook. Anders koppelt een typefout een
kind stilletjes aan het verkeerde account.

Co-Authored-By: Claude Opus 5 <claude@…>

Files:

• src/routes/activitypub.js (modified) (2 diffs)
• test/webfinger-bare-host.test.js (added)

src/routes/activitypub.js

@@ -44 +44 @@
 const publicSite = (slug) => db.prepare('SELECT * FROM sites WHERE slug = ? AND (is_public IS NULL OR is_public = 1)').get(slug);
 const primarySlug = () => { const r = db.prepare('SELECT slug FROM sites WHERE is_primary = 1').get(); return r && r.slug; };
+// A hostname as a human types it and as DNS stores it are the same host:
+// `🩵.is.wildenvrij.nl` IS `xn--zz9h.is.wildenvrij.nl`. WHATWG URL does the IDNA,
+// so compare the ASCII form and never the bytes the client happened to send.
+const asciiHost = (h) => {
+  try { return new URL(`https://${h}`).host.toLowerCase(); } catch { return String(h).trim().toLowerCase(); }
+};
 
 // ── WebFinger ─────────────────────────────────────────────────────
@@ -49 +55 @@
   const m = String(req.query.resource || '').match(/^acct:([^@]+)@(.+)$/i);
   if (!m) return res.status(400).type('text/plain').send('bad resource');
-  const site = publicSite(m[1]);
+  const user = m[1];
+  let site = publicSite(user);
+  // `acct:<host>@<host>` asks for this server's primary actor — the convention
+  // Shaer's Handle relies on so a Ward is reachable without knowing anyone's
+  // slug. Typing `🩵.is.wildenvrij.nl`, pasting `https://🩵.is.wildenvrij.nl`
+  // (which the client's URL parser silently punycodes) and sending the xn--
+  // form by hand are three spellings of one address; all arrive here with the
+  // host sitting in the user position, and all must find the same actor.
+  if (!site && asciiHost(user) === asciiHost(hostOf(req))) {
+    const slug = primarySlug();
+    if (slug) site = publicSite(slug);
+  }
   if (!site) return res.status(404).end();
   res.type('application/jrd+json; charset=utf-8');