Changeset 86cfa1a in Klonkt

Timestamp:

09/30/2026 07:00:30 AM (97 minutes ago)

Author:

Robin <roboburr@…>

Branches:

main

Children:

fd8faf5

Parents:

9eb6e1b

Message:

Een profiel op mastodon.social laadt: ook het profiel wordt ondertekend opgehaald

Plak je ​https://mastodon.social/@hotdogsladies in de zoekbalk, dan kwam er
"niet gevonden"; ​https://arvr.social/@bedrijfzondernaam liet gewoon een profiel
zien. Allebei Mastodon. Het verschil is authorized fetch: mastodon.social geeft
een onbetekende GET van een profiel een 401 {"error":"Request not signed"},
arvr.social serveert hem aan iedereen.

fetchActor kan dat al aan -- eerst onbetekend, en tekenen als dat niet lukt --
maar alleen als de aanroeper zegt als welke site. resolveRemoteActor gaf dat
nooit door, dus tekende nooit. De ironie: de zoekbalk probeert eerst "is het een
post?", en dat verzoek gaat WEL ondertekend en krijgt het profiel ook terug, maar
gooit het weg omdat het geen post is. Daarna haalde de profielstap hetzelfde
adres opnieuw op, onbetekend.

Gemeten op dev voor de wijziging: onbetekend niets, ondertekend als dev het
profiel met inbox. arvr.social in beide gevallen gevonden, en daar gaat ook
geen ondertekend verzoek uit: dat is alleen de terugval.

ALLEEN ALS JE INGELOGD BENT (Robin, 30-9). Tekenen is deze site die met haar
eigen sleutel voor het verzoek instaat, en dat mag alleen namens een ingelogde
beheerder van die site. resolveRemoteActor blijft zonder opts onbetekend; de
enige aanroepers die de site meegeven zijn de zoekbalk (achter mayLookUp) en
/authorize_interaction (requireSiteManager).

De volgknop had dit gat niet: followActor haalt al sinds 31-7 ondertekend op.

Getoetst: het profiel ondertekend op de zoekpagina, in de preview en op de
interactiepagina, en dat niet ingelogd geen enkel verzoek uitgaat, dus ook geen
ondertekend. Tegenproef: onbetekend in de zoekbalk, onbetekend op de
interactiepagina en de inlogcontrole eruit laten elk hun eigen toets omvallen.
Volledige suite 1286 groen.

shaer-utpi

Co-Authored-By: Claude Opus 5.5 <noreply@…>

Files:

• src/routes/posts.js (modified) (1 diff)
• src/routes/search.js (modified) (1 diff)
• src/services/ap-following.js (modified) (1 diff)
• test/search-fediverse.test.js (modified) (2 diffs)

src/routes/posts.js

@@ -881 +881 @@
     try { target = await ActivityPubService.resolveRemoteNote(uri, site ? { asSlug: site.slug } : {}); } catch { /* ignore */ }
     // Not a post? Maybe the URI is a profile/actor → offer Follow, not reply.
-    if (!target) { try { followTarget = await ActivityPubService.resolveRemoteActor(uri); } catch { /* ignore */ } }
+    if (!target) { try { followTarget = await ActivityPubService.resolveRemoteActor(uri, site ? { asSlug: site.slug } : {}); } catch { /* ignore */ } }
   }
   renderPage(req, res, 'pages/authorize-interaction', {

src/routes/search.js

@@ -120 +120 @@
   if (remote) remoteKind = 'note';
   if (!remote) {
-    try { remote = await ActivityPubService.resolveRemoteActor(remoteUri); } catch { /* onbereikbaar */ }
+    // Ook ondertekend: een profiel op een instance met authorized fetch
+    // (mastodon.social) geeft anders een 401 en leek dan niet te bestaan.
+    try { remote = await ActivityPubService.resolveRemoteActor(remoteUri, { asSlug: site.slug }); } catch { /* onbereikbaar */ }
     if (remote) remoteKind = 'actor';
   }

src/services/ap-following.js

@@ -172 +172 @@
 // authorize_interaction "Follow" flow). Returns display fields + inbox, or null
 // when it isn't a reachable actor (e.g. the input was a post, not a profile).
-export async function resolveRemoteActor(input) {
+//
+// ONDERTEKEND ALLEEN ALS DE AANROEPER DE SITE NOEMT (opts.asSlug). Een instance
+// met authorized fetch (mastodon.social) geeft een onbetekende GET een 401, en
+// dan leek een bestaand profiel te ontbreken -- terwijl een ander Mastodon
+// zonder die instelling het wel toonde. fetchActor probeert eerst onbetekend en
+// tekent pas als dat niet lukt.
+//
+// Tekenen is deze site die voor het verzoek instaat, met haar eigen sleutel.
+// Dat mag alleen namens een ingelogde beheerder van die site: de zoekbalk
+// (achter mayLookUp) en /authorize_interaction (requireSiteManager) zijn de
+// enige die asSlug meegeven. Zonder opts blijft dit onbetekend.
+export async function resolveRemoteActor(input, opts = {}) {
   const s = String(input || '').trim();
   const actorUrl = /^https?:\/\//i.test(s) ? (safeUrl(s) || null) : await webfingerResolve(s);
   if (!actorUrl) return null;
-  const actor = await fetchActor(actorUrl).catch(() => null);
+  const actor = await fetchActor(actorUrl, opts.asSlug ? { asSlug: opts.asSlug } : {}).catch(() => null);
   if (!actor || !actor.id || !actor.inbox) return null;
   const ai = actorInfo(actor, actor.id);

test/search-fediverse.test.js

@@ -51 +51 @@
   };
 };
-AP.resolveRemoteActor = async (uri) => {
+let actorOpties = [];
+AP.resolveRemoteActor = async (uri, opts) => {
   gevraagd.push(['actor', uri]);
+  actorOpties.push(opts || {});
   if (!uri.includes('/u/')) return null;
   return {
@@ -281 +283 @@
 });
 
+// ── Een profiel op een instance met authorized fetch ────────────────────────
+//
+// mastodon.social geeft een onbetekende GET van een profiel een 401; arvr.social
+// niet. Het profiel werd onbetekend opgehaald, dus het ene Mastodon toonde een
+// profiel en het andere "niet gevonden". De post-kant was al ondertekend, de
+// profiel-kant niet (gemeten op dev, 30-9: onbetekend niets, als dev gevonden).
+//
+// En de regel eronder: ondertekenen is deze site die voor het verzoek instaat,
+// en dat mag alleen namens een INGELOGDE beheerder. Een bezoeker laat niets
+// ophalen, ondertekend of niet.
+
+test('een profiel wordt ondertekend opgehaald, op de zoekpagina en in de preview', async () => {
+  actorOpties = [];
+  await zoek('https://elders.test/u/oma');
+  assert.equal(actorOpties[0] && actorOpties[0].asSlug, 'robo', 'de zoekpagina haalt het profiel als de site op');
+  actorOpties = [];
+  await preview('https://elders.test/u/oma');
+  assert.equal(actorOpties[0] && actorOpties[0].asSlug, 'robo', 'de preview ook');
+});
+
+test('ook de interactiepagina haalt een profiel ondertekend op', async () => {
+  actorOpties = [];
+  await fetch(`http://127.0.0.1:${poort2}/authorize_interaction?uri=${encodeURIComponent('https://elders.test/u/oma')}`,
+    { signal: AbortSignal.timeout(10000) });
+  assert.equal(actorOpties[0] && actorOpties[0].asSlug, 'robo');
+});
+
+test('niet ingelogd gaat er geen enkel verzoek uit, dus ook geen ondertekend', async () => {
+  ingelogd = false;
+  try {
+    actorOpties = [];
+    await zoek('https://elders.test/u/oma');
+    await preview('https://elders.test/u/oma');
+    assert.deepEqual(gevraagd, [], 'geen post- en geen profielopvraging');
+    assert.deepEqual(actorOpties, [], 'en dus niets dat de sleutel van de site gebruikt');
+  } finally {
+    ingelogd = true;
+  }
+});
+