Changeset a5caa73 in Klonkt for src/routes/audio.js

Timestamp:

08/16/2026 05:10:36 PM (3 weeks ago)

Author:

Robin <roboburr@…>

Branches:

main

Children:

1019a90

Parents:

749605a

Message:

Audio-stream: CORP cross-origin, zodat externe spelers echt kunnen afspelen (prutfolio-src-ap6)

Helmets default Cross-Origin-Resource-Policy: same-origin stond ook op
/audio/stream/*, en daarmee weigert de browser de bytes aan een
cross-origin <audio>-element: het bestand komt aan, de speler blijft
stil. Precies de les die /media al geleerd had -- de stream-route was
toen vergeten. En het zijn juist DEZE URLs die we in federatieve
Audio-objecten adverteren om elders (Funkwhale, de hub) afgespeeld te
worden. WIE mag ophalen beslist de fedi_open-poort, niet CORP.

Gemeten op hub.klonkt.com: /audio/stream/* speelde niet (same-origin),
de oude /media/migrated/*.mp3 wel (cross-origin). Na de fix op
dev.klonkt.com geverifieerd: de header staat er en de stream speelt
cross-origin.

Co-Authored-By: Claude Fable 5 <noreply@…>

File:

• src/routes/audio.js (modified) (1 diff)

src/routes/audio.js

@@ -147 +147 @@
   res.setHeader('Content-Type', mime);
   res.setHeader('Accept-Ranges', 'bytes');
+  // Same lesson /media already learned: Helmet's default CORP is same-origin,
+  // and the browser then refuses to hand a cross-origin <audio> the bytes —
+  // the file arrives, the player stays silent. These URLs are precisely what
+  // we advertise in federated Audio objects (Funkwhale, the hub) to be played
+  // elsewhere; WHO may fetch is decided by the gate above, not by CORP.
+  res.setHeader('Cross-Origin-Resource-Policy', 'cross-origin');
   // Allow the browser to cache the file for a day so play/pause/replay
   // doesn't re-fetch the whole stream every time. `private` keeps it out of