Changeset 4766720 in Klonkt for src/services/ActivityPubService.js

Timestamp:

08/13/2026 08:50:19 PM (4 weeks ago)

Author:

Robin <roboburr@…>

Branches:

main

Children:

34a0053

Parents:

44dfbd2

Message:

Een verhuisd account gaat op slot aan de uitgaande kant

Robins vraag: "nu kan je er nog alles mee". Klopt. moved_to deed maar twee dingen,
de actor-wegwijzer en een banner op de homepage. Posten, volgen, liken, boosten en
reageren kon gewoon door, en dat federeerde de wereld in.

Drie dingen gingen daar mis. Nieuwe posts kregen een object-URI op een adres dat je
hebt opgezegd, en die URI's overleven het domein niet. Je volgers waren al verhuisd,
dus je postte in het niets terwijl het lijkt of je post. En een server die je
movedTo ziet én tegelijk verse activiteit van dat adres krijgt, krijgt
tegenstrijdige signalen over de verhuizing.

DE POORT STAAT IN DE SERVICE, NIET OP DE KNOPPEN. Een C2S-client (Shaer) praat
rechtstreeks met deze functies en zou langs een verborgen knop lopen. De UI volgt
de poort.

Dicht: posten, reageren, volgen, liken, boosten, stemmen, en een tweede verhuizing.
Open: de actor met movedTo, webfinger, bestaande posts, de outbox, alles inkomend
(reacties op oude posts blijven binnenkomen en leesbaar), je eigen beheer (archief
en volglijst exporteren), ontvolgen, en rapporteren. Dat laatste is een
veiligheidsklep, geen inhoud maken.

Omkeerbaar: moved_to leegmaken heft het slot op. Een verhuizing kan mislukken.

setReaction is APART gepoort, want die schrijft alleen de lokale vlag; het
versturen gebeurt elders. Zonder die tweede poort zag je een like staan die nooit
de deur uit was: dezelfde halve toestand die vandaag al twee keer opdook.

Changed files:
src/services/ActivityPubService.js

• movedLock() en movedRefusal(), met de scheidslijn in het commentaar
• poorten in deliverCreate, deliverReply, followActor, sendInteraction, voteOnRemotePoll, setReaction en moveAccount

src/routes/posts.js

• 'moved' krijgt een eigen melding: het is een weigering met een reden, niet een mislukking, en "Volgen mislukt" laat je zoeken naar een storing die er niet is
• connect krijgt movedTo mee

src/views/pages/connect.ejs

• banner in plaats van het volgformulier; het volglijst-blok BLIJFT, want je archief meenemen moet je juist kunnen op een verhuisd account

src/services/i18n.js

• drie teksten in nl, en en de

New file:
test/moved-lockdown.test.js

• 11 tests die per soort vastleggen wat dicht gaat en wat open blijft
• inclusief: een half ingevuld moved_to zet niets op slot, ontvolgen mag nog, en de wegwijzer plus de inbox blijven staan

remarks: tegenproef gedaan. Zonder de poort vallen 8 van de 11 om en blijven de
drie "blijft open"-tests groen. Suite 949 in UTC en Europe/Amsterdam. De pagina in
beide standen gerenderd: formulier weg, banner er, exportblok blijft, geen
onvertaalde sleutels.

Doorsturen van reacties op oude posts is bewust NIET gebouwd. Zo'n reply wijst naar
een object-URI met de oude base, en findThreadTarget matcht alleen op onze eigen
base: hij zou als wees binnenkomen. Om het te laten werken zou de nieuwe instance
objecten moeten claimen op een domein dat hij niet beheert, en dat is precies waar
de sleutelbinding van vanmiddag tegen beschermt. Antwoorden doe je vanaf het nieuwe
account via de bestaande bladwijzerroute; dan blijft elke URI bij wie hem hoort.

-robo
Co-Authored-By: Claude Opus 4.8 <noreply@…>

File:

• src/services/ActivityPubService.js (modified) (8 diffs)

src/services/ActivityPubService.js

@@ -431 +431 @@
   // and publishers should stop delivering here.
   if (site.moved_to && /^https?:\/\//i.test(String(site.moved_to))) actor.movedTo = String(site.moved_to);
+  // Zie movedLock() verderop: het serveren van movedTo is de ENE helft, het
+  // stilzetten van de uitgaande kant de andere.
   // De MusicBrainz-koppeling van de artiest (shaer-mbz). Alleen als hij ZELF
   // gekozen heeft -- er staat niets als er niets gekoppeld is, want een lege
@@ -2816 +2818 @@
 }
 
+// ── Op slot na een verhuizing (FEP-7628) ──────────────────────────
+//
+// Een verhuisd account serveert `movedTo` en is daarmee dood verklaard. Toch kon
+// je er gewoon op posten, volgen, liken en reageren, en dat federeerde vrolijk
+// de wereld in. Drie dingen gaan daar mis:
+//
+//   - Nieuwe posts krijgen een object-URI op een adres dat je hebt opgezegd. Die
+//     URI's overleven het domein niet, en de reacties erop ook niet.
+//   - Je volgers zijn al verhuisd, dus je post in het niets terwijl het lijkt of
+//     je post.
+//   - Een server die je movedTo ziet EN tegelijk verse activiteit van dat adres
+//     krijgt, krijgt tegenstrijdige signalen over de verhuizing.
+//
+// Daarom staat de poort op de UITGAANDE kant en niet op de knoppen: een
+// C2S-client (Shaer) praat rechtstreeks met deze functies en zou anders zo langs
+// een verborgen knop lopen. De UI volgt de poort, niet andersom.
+//
+// WAT DICHT GAAT: posten, reageren, volgen, liken, boosten, stemmen, en een
+// tweede verhuizing.
+// WAT OPEN BLIJFT: alles wat de wegwijzer draagt (de actor, webfinger, je
+// bestaande posts, de outbox), alles inkomend (reacties op oude posts blijven
+// binnenkomen en leesbaar), je eigen beheer (archief exporteren, volglijst
+// downloaden), en ontvolgen -- opruimen mag altijd.
+// Rapporteren blijft OOK open: dat is een veiligheidsklep, geen inhoud maken.
+//
+// OMKEERBAAR: `moved_to` leegmaken heft het slot op. Een verhuizing kan mislukken
+// en dan moet je terug kunnen.
+export function movedLock(site) {
+  const to = site && site.moved_to && /^https?:\/\//i.test(String(site.moved_to))
+    ? String(site.moved_to) : null;
+  return to ? { locked: true, movedTo: to } : { locked: false, movedTo: null };
+}
+
+/** Weigering in de vorm die de aanroepers al kennen: een object met `error`. */
+function movedRefusal(site, wat) {
+  const l = movedLock(site);
+  if (!l.locked) return null;
+  console.warn('[AP] geweigerd, dit account is verhuisd:', wat, '→', l.movedTo);
+  return { error: 'moved', movedTo: l.movedTo };
+}
+
 // Deliver a new post as Create(Note) to all followers' inboxes (fire-and-forget).
 // Needs PUBLIC_BASE_URL (absolute URLs); no-op without followers or base.
 export async function deliverCreate(site, post) {
+  if (movedLock(site).locked) { console.warn('[AP] Create niet bezorgd, account verhuisd:', site && site.slug); return; }
   const base = (process.env.PUBLIC_BASE_URL || '').replace(/\/+$/, '');
   if (!base || !site || !site.slug) return;
@@ -3592 +3636 @@
 
 export async function deliverReply(site, { postId, postSlug, parent, text, html, language, attachments, mentions, visibility }) {
+  const _mv = movedRefusal(site, 'reply'); if (_mv) return _mv;
   const base = (process.env.PUBLIC_BASE_URL || '').replace(/\/+$/, '');
   // Rich replies: `html` is the reply editor's HTML (sanitized here); `text` is
@@ -4945 +4990 @@
 export function setReaction(slug, uri, kind, on, opts = {}) {
   if (!slug || !uri || (kind !== 'like' && kind !== 'boost')) return;
+  // Ook hier, en niet alleen bij sendInteraction. Deze functie schrijft ALLEEN de
+  // lokale vlag; het versturen gebeurt elders. Zonder deze poort zou je op een
+  // verhuisd account een like zien staan die nooit de deur uit is gegaan, en dat
+  // is de halve toestand die erger is dan een duidelijke weigering.
+  try {
+    const s = db.prepare('SELECT moved_to FROM sites WHERE slug = ?').get(slug);
+    if (movedLock(s).locked) { console.warn('[AP] reactie geweigerd, account verhuisd:', slug, kind); return; }
+  } catch { /* geen sites-tabel = geen verhuizing */ }
   // EEN sleutel voor beide bronnen. opts.flagUri is de opgeloste object-URI van
   // de aanroeper (het C2S-pad kent die uit resolveRemoteNote en dat is
@@ -5627 +5680 @@
 // Follow a fediverse account by @handle (WebFinger → actor → signed Follow).
 export async function followActor(site, handle, autoBoost = false, { approved = false } = {}) {
+  const _mv = movedRefusal(site, 'follow'); if (_mv) return _mv;
   const base = (process.env.PUBLIC_BASE_URL || '').replace(/\/+$/, '');
   if (!base || !site || !site.slug) return { error: 'config' };
@@ -5846 +5900 @@
  */
 export async function moveAccount(site, targetRaw, { fetchActorFn = null, deliverFn = null } = {}) {
+  // Al verhuisd? Dan eerst het slot eraf (moved_to leegmaken). Anders stapel je
+  // wegwijzers op elkaar en weet niemand meer waar de keten eindigt.
   const base = (process.env.PUBLIC_BASE_URL || '').replace(/\/+$/, '');
   if (!base || !site || !site.slug) return { error: 'config' };
+  if (movedLock(site).locked) return { error: 'already_moved', movedTo: movedLock(site).movedTo };
   try {
     // Was een harde weigering voor elk bewaakt account (shaer-tge); sinds 8-8
@@ -6164 +6221 @@
 // Send a Like or Announce (boost) on a remote note FROM this site.
 export async function sendInteraction(site, kind, targetNoteId, authorUri) {
+  const _mv = movedRefusal(site, `interaction:${kind}`); if (_mv) return _mv;
   const base = (process.env.PUBLIC_BASE_URL || '').replace(/\/+$/, '');
   if (!base || !site || !site.slug || !targetNoteId) return { error: 'config' };
@@ -6347 +6405 @@
 // by URL, not just ones from accounts you follow (which go through voteOnPoll via /news).
 export async function voteOnRemotePoll(site, questionUrl, choices) {
+  const _mv = movedRefusal(site, 'poll-vote'); if (_mv) return _mv;
   const base = (process.env.PUBLIC_BASE_URL || '').replace(/\/+$/, '');
   if (!base || !site || !site.slug || !/^https?:\/\//i.test(String(questionUrl || ''))) return { error: 'config' };