Kristian WindandClaude Opus 5
cab4e703f5
Release / Build and publish image (push) Failing after 10m0s
To huller fundet ved en gennemgang efter dagens arbejde. Begge har en prøve, der er set fejle før rettelsen. CalDAV PUT afgjorde adgang på det projekt, klienten *nævnte i adressen*, og tog derefter opgavens id fra den samme adresse. Intet bandt de to sammen. En viewer på et delt projekt kunne pege på et projekt, de selv ejer — indbakken, som alle har og alle må redigere — og lægge den delte opgaves id i filnavnet. Projekt- tjekket gik godt på indbakken, og skrivningen landede på en opgave, de kun må læse. GetTask lukkede det ikke: den svarer "må denne person se det", og det må en viewer. `CanEdit` er spørgsmålet, og det er det samme, handleUpdateTask altid har stillet — API-døren har spurgt hele tiden, CalDAV-døren spurgte ikke. Opgaven skal nu også ligge, hvor adressen siger. Uden det kan en redaktør på to projekter nå det ene gennem det andets adresse; intet eskaleres af det i sig selv, men en adresse, der har lov at lyve om hvor noget bor, er sådan sagen ovenfor kom ind. Web Push blev leveret med en almindelig http.Client. Adressen kommer fra browserens abonnement — altså fra den, der er logget ind — og serveren POSTer til den på et skema, de selv vælger: sæt en påmindelse et minut ude, og jobbet går igen hvert minut. Tilmeldingen afviser en privat adresse, og den kontrol er ikke nok alene: den kører på URL'en som skrevet, og et navn, den godkender, kan svare 127.0.0.1 næste gang det slås op. Det er præcis den sætning, `internal/safedial` selv står og advarer om. Leveringen går gennem safedial nu, som tjekker den opslåede adresse ved forbindelsen og hvert viderestillingshop på samme måde. Kontrollen ved tilmelding bliver, fordi den siger nej, mens nogen kigger på skærmen. Og en hærdning: /inbound/mail har fået et loft. Det er den svagere af de to offentlige skriveveje — beaconet skriver en række for en fremmed, denne skriver ingenting uden en 256-bit adresse, man skal kende i forvejen — men adressen deles med mailservere og står på en indstillingsside, og når den først er kendt, var der intet loft på, hvad der kunne laves med den. Tallet er sat generøst: modtageren er mailserveren, én adresse der leverer det hele. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
67 lines
2.0 KiB
Go
67 lines
2.0 KiB
Go
package push
|
|
|
|
import (
|
|
"context"
|
|
"crypto/ecdh"
|
|
"crypto/rand"
|
|
"net/http"
|
|
"net/http/httptest"
|
|
"strings"
|
|
"testing"
|
|
)
|
|
|
|
// A subscription must not be able to point the server at its own network.
|
|
//
|
|
// The endpoint is whatever the browser handed over, which is to say whatever the
|
|
// person signed in handed over, and this server POSTs to it on a schedule they
|
|
// choose. The subscribe handler refuses a private address when it is written
|
|
// down — and that check runs on the URL as written, so a name it approves can
|
|
// answer 127.0.0.1 the next time it is looked up. This is the other half: the
|
|
// address that will actually be dialled, checked at the moment of dialling.
|
|
func TestSendRefusesToReachInside(t *testing.T) {
|
|
reached := false
|
|
srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
|
reached = true
|
|
w.WriteHeader(http.StatusCreated)
|
|
}))
|
|
defer srv.Close()
|
|
// httptest listens on 127.0.0.1, which is exactly the destination in question.
|
|
if !strings.Contains(srv.URL, "127.0.0.1") {
|
|
t.Skipf("the test server is not on loopback: %s", srv.URL)
|
|
}
|
|
|
|
err := Send(context.Background(), testSubscription(t, srv.URL), Payload{Title: "hej"}, testVAPID(t))
|
|
if err == nil {
|
|
t.Fatal("Send reached a loopback address without complaining")
|
|
}
|
|
if reached {
|
|
t.Error("the request arrived: the wall let it through and only the answer failed")
|
|
}
|
|
}
|
|
|
|
func testSubscription(t *testing.T, endpoint string) Subscription {
|
|
t.Helper()
|
|
key, err := ecdh.P256().GenerateKey(rand.Reader)
|
|
if err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
auth := make([]byte, 16)
|
|
if _, err := rand.Read(auth); err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
return Subscription{
|
|
Endpoint: endpoint,
|
|
P256dh: b64.EncodeToString(key.PublicKey().Bytes()),
|
|
Auth: b64.EncodeToString(auth),
|
|
}
|
|
}
|
|
|
|
func testVAPID(t *testing.T) VAPID {
|
|
t.Helper()
|
|
pub, priv, err := GenerateVAPIDKeys()
|
|
if err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
return VAPID{Public: pub, Private: priv, Subject: "mailto:kristian@example.dk"}
|
|
}
|