Changeset cec72bc in Klonkt for src/services/ActivityPubService.js

Timestamp:

08/06/2026 11:18:34 AM (5 weeks ago)

Author:

Claude (agent) <aiclaude@…>

Branches:

main

Children:

f4f0a6d

Parents:

434ba41

git-author:

Robin <roboburr@…> (08/06/2026 11:18:33 AM)

git-committer:

Claude (agent) <aiclaude@…> (08/06/2026 11:18:34 AM)

Message:

Dereference smaller, onbetekend eerst, en mislukkingen onthouden (shaer-drf)

De twee veiligheidsvervolgstappen die in de notities van twee GESLOTEN beads
stonden en daarmee onvindbaar waren. Eerst als eigen bead gezet, nu uitgevoerd.

1. ALLEEN BIJ EEN OUDER DIE WE KENNEN. dereferenceForwarded haalde een object op zodra een geldig ondertekende activiteit een andere auteur claimde dan de ondertekenaar. Maar claimedActor en object.id zijn allebei door de aanvaller gekozen, en het host-anker eist alleen dat ze aan ELKAAR gelijk zijn -- dus kon iedereen met een werkende fediverse-actor ons naar elke https-URL sturen. Nu moet inReplyTo wijzen naar iets van ons: een eigen post, een eigen outbox-antwoord, een rij in ap_timeline of een bekende reactie in ap_interactions. Doorsturen bestaat juist omdát wij in de thread zitten, dus dat kost geen legitiem verkeer waarvan we de ouder kennen. Wat wel afvalt wordt apart gelogd (skipped: unknown inReplyTo), zodat zichtbaar is of de vernauwing echte inhoud kost.

2. ONBETEKEND EERST. Die GET werd nog ondertekend namens ons. efe5633 haalde dat weg bij de sleutel-ophaal in fetchActor maar niet hier, dus de attributie-blootstelling die ik dacht te hebben weggenomen bestond op dit pad nog. Nu onbetekend, en alleen tekenen als dat niet volstaat.

3. MISLUKKINGEN ONTHOUDEN. Mastodon herhaalt dagenlang; elke herhaling deed de fetch opnieuw. Een negatieve cache van een half uur, begrensd op 500 items.

Vier tests erbij. Een ervan viel eerst om doordat een eerdere test dezelfde note
had laten mislukken en de cache hem dus oversloeg -- dat was geen fout maar het
bewijs dat de cache werkt; de test heeft nu een eigen id, met die reden erbij.

Suite 458/458.

Co-Authored-By: Claude Opus 5 <noreply@…>

File:

• src/services/ActivityPubService.js (modified) (2 diffs)

src/services/ActivityPubService.js

@@ -1687 +1687 @@
  *     geclaimde actor, dan blijft het een weigering. Geen twijfelgeval opslaan.
  */
+/** Kennen we deze note? Een eigen post, een eigen outbox-antwoord, een
+ *  gecachete post in de tijdlijn, of een reactie die al in een thread van ons
+ *  staat. Alle vier zijn een geldige reden dat iemand ons een antwoord daarop
+ *  doorstuurt; iets anders is dat niet. */
+function knownNoteUri(uri) {
+  if (!uri || typeof uri !== 'string') return false;
+  const base = (process.env.PUBLIC_BASE_URL || '').replace(/\/+$/, '');
+  try {
+    if (base && uri.startsWith(`${base}/ap/notes/`)) {
+      const seg = decodeURIComponent(uri.slice(`${base}/ap/notes/`.length).split(/[?#]/)[0]);
+      if (db.prepare('SELECT 1 FROM ap_outbox WHERE id = ?').get(seg)) return true;
+      if (db.prepare('SELECT 1 FROM posts WHERE id = ?').get(seg)) return true;
+    }
+    if (db.prepare('SELECT 1 FROM ap_timeline WHERE id = ? LIMIT 1').get(uri)) return true;
+    if (db.prepare('SELECT 1 FROM ap_interactions WHERE object_uri = ? LIMIT 1').get(uri)) return true;
+  } catch { /* bij twijfel niet ophalen */ }
+  return false;
+}
+
+// Mislukte dereferences kort onthouden. Mastodon herhaalt een bezorging
+// dagenlang; zonder dit doet elke herhaling de fetch opnieuw, ook als die de
+// vorige twintig keer niets opleverde. Dempt meteen de scherpte van misbruik.
+const _derefMiss = new Map();
+const DEREF_MISS_MS = 30 * 60 * 1000;
+function derefRecentlyFailed(uri) {
+  const t = _derefMiss.get(uri);
+  if (t === undefined) return false;
+  if (Date.now() - t > DEREF_MISS_MS) { _derefMiss.delete(uri); return false; }
+  return true;
+}
+function noteDerefFailure(uri) {
+  if (_derefMiss.size > 500) {   // simpele begrenzing: oudste helft eruit
+    const oud = [..._derefMiss.entries()].sort((a, b) => a[1] - b[1]).slice(0, 250);
+    for (const [k] of oud) _derefMiss.delete(k);
+  }
+  _derefMiss.set(uri, Date.now());
+}
+
 async function dereferenceForwarded(act, claimedActor, type, slugParam) {
   if (type !== 'Create' && type !== 'Update') return null;
@@ -1695 +1733 @@
     if (new URL(objId).host !== new URL(claimedActor).host) return null;   // ankereis
   } catch { return null; }
-  // Ondertekend als de ontvangende site wanneer we die kennen; anders anoniem,
-  // wat voor een publieke note volstaat. Beide gaan door safeFetch.
-  const fetched = await signedGetJson(slugParam, objId).catch(() => null);
-  if (!fetched || fetched.id !== objId) return null;   // ook: geen omleiding naar iets anders
-  const attributed = typeof fetched.attributedTo === 'string'
+  // Alleen dereferencen als het object beweert een antwoord te zijn op iets van
+  // ONS (shaer-drf). Zonder die eis zijn claimedActor en object.id allebei door
+  // de aanvaller gekozen en eist het host-anker alleen dat ze aan elkaar gelijk
+  // zijn -- dan kan iedereen met een werkende actor ons naar elke URL sturen.
+  // Doorsturen bestaat juist omdát wij in de thread zitten, dus deze eis kost
+  // niets aan legitiem verkeer waarvan we de ouder kennen.
+  const parent = typeof o === 'object' && o
+    ? (typeof o.inReplyTo === 'string' ? o.inReplyTo : (o.inReplyTo && o.inReplyTo.id))
+    : null;
+  if (!knownNoteUri(parent)) {
+    console.log('[AP] inbox forwarded, skipped (unknown inReplyTo):', claimedActor, parent || '(none)');
+    return null;
+  }
+  if (derefRecentlyFailed(objId)) return null;
+  // Onbetekend eerst; tekenen alleen als terugval. Anders kan een ander ons een
+  // ONDERTEKEND verzoek naar een adres van zijn keuze laten sturen -- dezelfde
+  // reden als bij fetchActor sinds efe5633.
+  let fetched = await apGetJson(objId).catch(() => null);
+  if ((!fetched || fetched.id !== objId) && slugParam) {
+    fetched = await signedGetJson(slugParam, objId).catch(() => null);
+  }
+  const attributed = fetched && (typeof fetched.attributedTo === 'string'
     ? fetched.attributedTo
-    : (fetched.attributedTo && fetched.attributedTo.id);
-  if (attributed !== claimedActor) return null;
+    : (fetched.attributedTo && fetched.attributedTo.id));
+  if (!fetched || fetched.id !== objId || attributed !== claimedActor) {
+    noteDerefFailure(objId);
+    return null;
+  }
   return fetched;
 }