Changeset 3d882bd in Klonkt for src/services

Timestamp:

08/04/2026 12:30:11 PM (5 weeks ago)

Author:

Bart <bart@…>

Branches:

main

Children:

fa33214

Parents:

30d0e2c

Message:

FEP-633c §4.1: een kapotte guardian kost een kind niet de goede

Een "guardian" met eigen guardians is er geen (§1), en een escalatie daarheen
komt nergens aan: er is geen grand-guardian om naar door te vertakken. Klonkt
handhaafde dat nergens. De daemon doet het vanaf het begin, en dat verschil is
precies waar shaer-6d9 voor bestaat.

Nu zacht falen zoals §4.1 vraagt: dat ene doelwit valt af, de rest krijgt de
hulpvraag gewoon. Andersom zou één verkeerd geconfigureerd account van een
volwassene de noodroep van een kind helemaal laten mislukken.

Alleen bij een hulpvraag. Een gewoon direct bericht is geen escalatie, en een
ward mag een andere ward best iets sturen — daar stilletjes ontvangers uit
slopen zou een bug zijn met een spec-verwijzing eromheen.

Als ELKE guardian kapot is, is er niets om naar door te leveren. §4 dekt dat
niet, want §4.1 gaat ervan uit dat er anderen zijn. Dan komt de hulpvraag bij
niemand aan, en dat is het enige wat deze FEP juist moet voorkomen: dat faalt
dus luid in de log in plaats van een aflevering te melden die niet gebeurde.

carriesGuardians() staat nu in context.js, waar de rest van het vocabulaire ook
woont: §3 en §5.2 stellen dezelfde vraag en moeten hem hetzelfde lezen.

Co-Authored-By: Claude Opus 5 <claude@…>

Location:

src/services/guardianship

Files:

• context.js (modified) (1 diff)
• delivery.js (modified) (4 diffs)
• handshake.js (modified) (2 diffs)

src/services/guardianship/context.js

@@ -24 +24 @@
 }
 
-export default { SHAER_CONTEXT, GUARDIAN_RELATIONSHIP, GUARDIAN_RELATIONSHIP_COMPACT, isGuardianRelationship };
+/**
+ * True when an actor document carries `shaer:guardians` — i.e. it is a ward,
+ * and therefore not a valid guardian (§1). The one question §4 asks, in both
+ * places it asks it: before committing a guardianship (§4.2) and before
+ * delivering an escalation to one (§4.1).
+ *
+ * §2.1 allows the list as an array of URIs, a single URI, or a Collection, so
+ * all three are read here rather than in each caller.
+ */
+export function carriesGuardians(doc) {
+  const g = doc && doc['shaer:guardians'];
+  if (Array.isArray(g)) return g.length > 0;
+  if (typeof g === 'string') return g.length > 0;
+  if (g && typeof g === 'object') return Array.isArray(g.items) ? g.items.length > 0 : true;
+  return false;
+}
+
+export default { SHAER_CONTEXT, GUARDIAN_RELATIONSHIP, GUARDIAN_RELATIONSHIP_COMPACT, isGuardianRelationship, carriesGuardians };

src/services/guardianship/delivery.js

@@ -13 +13 @@
 import crypto from 'crypto';
 import db from '../../config/database.js';
+import { carriesGuardians } from './context.js';
 
 const PUBLIC = 'https://www.w3.org/ns/activitystreams#Public';
@@ -49 +50 @@
   // Resolve every recipient for a mention anchor + a delivery inbox.
   const resolved = [];
+  const teapots = [];
   for (const uri of list) {
     // An actor we host is read from our own database, not fetched from our own
@@ -56 +58 @@
     const a = (localActor && localActor(uri)) || await fetchActor(uri).catch(() => null);
     if (!a || !(a.inbox || (a.endpoints && a.endpoints.sharedInbox))) continue;
+    // FEP-633c §4.1: an escalation addressed to a "guardian" that carries
+    // guardians of its own goes nowhere. There is no grand-guardian, so we
+    // MUST NOT recurse to that actor's guardians — and we fail SOFTLY: drop
+    // this one target and keep delivering to the rest, because a malformed
+    // guardian must never cost a child the guardians who are fine.
+    //
+    // Only for a call for help. An ordinary direct note is not an escalation,
+    // and a ward is perfectly entitled to message another ward.
+    if (helpRequest && carriesGuardians(a)) { teapots.push(uri); continue; }
     resolved.push({ uri, inbox: (a.endpoints && a.endpoints.sharedInbox) || a.inbox, local: !!a.local, handle: deriveHandle(uri), url: a.url || uri });
   }
-  if (!resolved.length) return null;
+  if (teapots.length) console.warn('[AP] not a teapot: escalation dropped for malformed guardian(s)', teapots.join(', '));
+  if (!resolved.length) {
+    // Every guardian was malformed. §4 does not say what to do here because
+    // §4.1 assumes there are others to continue to — but a ward whose whole
+    // safety net is broken has just called for help into nothing, which is the
+    // one outcome this FEP exists to prevent. Say so loudly; the caller can
+    // tell "nobody was reachable" from "nobody was valid".
+    if (teapots.length) console.error('[AP] EVERY guardian of', site.slug, 'is malformed: the call for help reached no one');
+    return null;
+  }
   const mention = resolved.map((r) => {
     const disp = r.handle && r.handle[0] === '@' ? r.handle : '@' + (r.handle || '');
@@ -104 +124 @@
   }
   console.log('[AP] direct note', site.slug, '→', resolved.length, 'recipient(s), delivered', delivered);
-  return { id, content, delivered };
+  return { id, content, delivered, teapots };
 }
 

src/services/guardianship/handshake.js

@@ -16 +16 @@
  * arrive once via wireHandshake(deps); nothing here imports ActivityPubService.
  */
-import { isGuardianRelationship, GUARDIAN_RELATIONSHIP_COMPACT } from './context.js';
+import { isGuardianRelationship, GUARDIAN_RELATIONSHIP_COMPACT, carriesGuardians } from './context.js';
 import * as offers from './offers.js';
 import * as relations from './relations.js';
@@ -139 +139 @@
   const doc = await deps.fetchActor(candidateUri).catch(() => null);
   if (!doc) return 'unverified';
-  const g = doc['shaer:guardians'];
-  const has = Array.isArray(g) ? g.length > 0
-    : typeof g === 'string' ? g.length > 0
-      : (g && typeof g === 'object') ? (Array.isArray(g.items) ? g.items.length > 0 : true)
-        : false;
-  return has ? 'malformed' : 'ok';
+  return carriesGuardians(doc) ? 'malformed' : 'ok';
 }