Changeset 59f404a in Klonkt for src/views/pages/paid-gate.ejs

Timestamp:

09/04/2026 11:21:16 AM (4 days ago)

Author:

Robin <roboburr@…>

Branches:

main

Children:

4425cc2

Parents:

b5a0268c

Message:

De laatste twee scripts uit gewisselde inhoud (shaer-0i6)

shaer-bqr haalde de eigen logica van paid-gate en paid-passkey al uit de
pagina naar een module, maar liet de WebAuthn-bibliotheek als losse tag in
de body staan. Beide pagina's gaan via renderPage, dus bij een navigatie
binnen de site komen ze als fragment binnen -- met de nonce van dat
verzoek, die het al geladen document niet kent. Precies de vorm die Bart
destijds gemeld zag.

Het gevolg was stil: de module laadde wel, vond window.SimpleWebAuthn-
Browser niet, en viel terug op "geen WebAuthn hier". De passkey-knop deed
niets; de ontgrendelknop verdween. Alleen na een harde herlading werkte
het, en dat is precies waarom dit lang onzichtbaar bleef.

De modules halen de bibliotheek nu zelf op met loadWebAuthn() in lib.js.
Een dynamische import vanuit een module die de shell met een geldige nonce
startte is toegestaan -- daar is strict-dynamic voor. De UMD-bundel zet
zichzelf zonder CommonJS of AMD op globalThis, dus de global staat er na
afloop. init() wacht erop voordat hij bedraadt, anders zet de terugval de
knop uit terwijl er niets aan de hand is.

Verder nagelopen wat nog meer een scripttag draagt: vijf views hebben er
een van type application/json (een datablok, dat voert de browser nooit
uit) en twee gaan via res.render in plaats van renderPage -- losse
documenten die htmx nooit inwisselt. Die staan als uitzondering in de
nieuwe toets, met een tweede toets die controleert dat ze nog bestaan,
zodat een hernoeming de uitzondering niet stilletjes uitholt.

MOD_V naar 63: er wijzigde iets in mod/.

File:

• src/views/pages/paid-gate.ejs (modified) (1 diff)

src/views/pages/paid-gate.ejs

@@ -38 +38 @@
 </article>
 
-<script src="/assets/vendor/simplewebauthn-browser.umd.min.js"></script>
-<%# Het script staat in assets/js/mod/paid-gate.js; de gegevens via partials/page-data.ejs (shaer-bqr). %>
+<%# Het script staat in assets/js/mod/paid-gate.js; de gegevens via partials/page-data.ejs (shaer-bqr).
+    De WebAuthn-bibliotheek stond hier als `<script src>` en is weg (shaer-0i6):
+    deze pagina komt via een link binnen de site als htmx-fragment binnen, en
+    dan draagt zo'n tag de nonce van een ander verzoek en weigert de CSP hem.
+    De module haalt hem nu zelf op met loadWebAuthn() uit lib.js. %>
 
 <style>