Tredje trin mod iOS-appen. I en browser deler fladen og API'et origin: hver
sti er relativ, og sessionen er en httpOnly-cookie. I appen ligger fladen i
appen selv på capacitor://localhost, og serveren er den, ejeren skrev ind.
Alt, der er forskelligt, bor i den nye `platform.js`, så browserens svar er
præcis, hvad det var før.
- `apiURL()` og `authorize()`: relative stier og cookie i en browser; den
valgte server og `Authorization: Bearer` i appen, `credentials: 'omit'`.
- Login sender `client: app` og gemmer `session_token`; log ud fjerner det fra
telefonen, også når serveren ikke svarede.
- Live-synk i appen beder om en billet og åbner socket'en på serveren med den.
- Første skærm i appen: "Hvilken Verdande vil du logge ind på?". Adressen
prøves med /ping, før et adgangskodefelt vises, så en tastefejl, en router
eller en server, der er nede, får sin egen sætning. Passkeys og opsætning af
første konto vises ikke i appen; begge hører til serverens eget domæne.
- Billeder og downloads under /api/v1 hentes med tokenet og vises fra en blob,
i appen og kun dér (`nativemedia.js`). Stien bevares i `data-src`, og
`richtext.js` læser den først, så en note aldrig gemmer en blob-adresse.
- Service worker og Web Push er slået fra i appen: WKWebView har ingen af dem.
Serveren: `VERDANDE_APP_ORIGINS` regner flere origins som appens. Den findes
for E2E-projektet `app-origin`, der kører fladen fra app.localhost — samme
server, anden origin — med en Capacitor-stub og uden cookie. Prøven vælger
server, logger ind, ser et projekt fra "en anden enhed" dukke op over socket'en,
viser et billede fra en blob og logger ud.
Fire plantede fejl, hver fanget af prøven ved sit eget trin: ingen bearer,
socket uden billet, billeder ikke hentet, token efterladt ved log ud.
Dokumenterer også `VERDANDE_APP_SESSION_TTL` fra trin 1.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Andet trin mod iOS-appen. Appen henter sin flade fra capacitor://localhost og
taler med den server, ejeren har skrevet ind, så hver anmodning er cross-origin.
- CORS på /api/v1 for appens origin og ingen andres. Ingen
Allow-Credentials: appen bærer sin session som bearer, aldrig som cookie.
Alle andre origins får ingen headere, præcis som før.
- POST /ws-ticket giver en engangsbillet, der lever 30 sekunder, og
/ws?ticket=… åbner socket'en med den. En browser kan ikke sætte en header
på et WebSocket-håndtryk, og tokenet selv i URL'en ville ligge i hver
proxy-log i månedsvis. En socket med billet springer origin-tjekket over,
fordi den ikke bærer nogen cookie, som en fremmed side kunne låne.
- Et håndtryk fra appens origin uden billet afvises. Prøven fandt hvorfor:
biblioteket sammenligner kun værtsnavne, og capacitor://localhost har samme
værtsnavn som en instans på http://localhost.
- /ping svarer med product, edition og api, så appen kan kende en Verdande
fra en routers login-side, før nogen er logget ind. Ingen version: /version
er bag et login med vilje.
Fem plantede fejl, hver fanget af sin egen prøve: CORS til enhver origin,
genbrugelig billet, billet uden udløb, app-origin på en cookie, og
Allow-Credentials.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
