Die Weboberfläche — im Zuschnitt von Plex, vom Server selbst ausgeliefert
Einrichtung, Anmeldung, Mediathek, Detailseite mit Abspielen und Herunterladen, Zuordnung korrigieren, Verwaltung. Die Oberfläche aus der Jellyfin-Zeit ist dabei vollständig ersetzt: `types.ts`, `prefs.ts`, `contrast.ts`, `views/cards.ts`, `views/player.ts` und `views/settings.ts` sprachen Jellyfins Schnittstelle und hatten hier nichts mehr zu suchen. Seitenleiste links, waagerechte Reihen auf der Startseite, Plakate im Verhältnis 2:3, unscharfer Hintergrund hinter dem Kopf der Detailseite — das ist der Zuschnitt von Plex, weil er gefällt. **Die Farbe bleibt Flaros Orchidee**, nicht Plex' Orange; der Aufbau ist das Vorbild, nicht das Aussehen. Welche Bibliothek gezeigt wird, entscheidet die Seitenleiste. Eine zweite Umschaltung innerhalb der Seite wäre dieselbe Entscheidung an zwei Orten. --- **Der Zugang liegt jetzt auch in einem Cookie.** Ein `<img>`, ein `<video>` und ein Download-Link senden keine eigenen Kopfzeilen — eine App kann ihr Token in jede Anfrage legen, ein Browser nicht. Das Token stattdessen in die Adresse zu schreiben wäre der naheliegende Ausweg und stünde danach in jedem Zugriffsprotokoll, in jedem Verlauf und in jedem weitergegebenen Link. `HttpOnly`, damit kein eingeschlichenes Skript herankommt. `SameSite=Strict` gegen Anfragen von fremden Seiten. `Secure` nur über https — sonst liesse sich die Oberfläche im Heimnetz über http gar nicht benutzen. Die Apps benutzen weiterhin die Kopfzeile: ein zweiter Weg zum selben Token, kein zweites Verfahren. --- **Der Fehler, den erst der echte Container zeigte:** eine weisse Seite, ohne Hinweis worauf. Die Rückfallregel verlangt für jede Anfrage ohne eigenen Endpunkt einen angemeldeten Benutzer, und `/assets/index.js` hat keinen. Die statischen Dateien standen unter `UseAuthorization` — ein neuer Besucher bekam 401 auf genau das Skript, das ihm die Anmeldemaske zeichnen sollte. `/` kam durch, weil der SPA-Rückfall `AllowAnonymous` trägt; alles mit Dateiendung nicht. Jetzt liegen sie davor. Mit Prüfung. Beim Bau desselben Images der zweite: seit der Kontext die Projektwurzel ist, überschrieb `COPY server/` die `obj/`-Verzeichnisse aus dem Container mit denen vom Arbeitsrechner — die zeigen auf osx-arm64, gebaut wird linux-arm64, `dotnet publish` brach mit NETSDK1047 ab. Dafür gibt es jetzt eine `.dockerignore` in der Wurzel; die unter `server/` sucht Docker seit dem Umzug nicht mehr. --- Vier Prüfungen schlugen danach fehl, und zwar zu Recht: sie hiessen „ohne Anmeldung gibt es nichts", benutzten aber den Client, der nach dem Anmelden ein Cookie hält. Sie prüften also den Angemeldeten. Jetzt sagen sie ausdrücklich, dass sie ohne Zugang fragen. 313 Tests grün. Im Container nachgewiesen: Anmelden, Plakate, Abspielen, Staffeln und Folgen, Verwaltung — und ein Neuladen auf `/verwaltung`, das nicht in einem 404 endet. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
Scarriffle
co-authored by
Claude Opus 5
Claude Opus 5
parent
a7cf6c5def
commit
91eb934048
@@ -0,0 +1,146 @@
|
||||
using System.Net;
|
||||
using System.Net.Http.Json;
|
||||
using Flaro.Api.Auth;
|
||||
using Flaro.Api.Endpoints;
|
||||
|
||||
namespace Flaro.Api.Tests;
|
||||
|
||||
/// <summary>Was der Browser braucht und die Apps nicht.</summary>
|
||||
///
|
||||
/// <remarks>
|
||||
/// Eine App legt ihr Token in jede Anfrage. Ein Browser kann das nicht:
|
||||
/// <c><img></c>, <c><video></c> und ein Download-Link senden keine
|
||||
/// eigenen Kopfzeilen. Das Token in die Adresse zu schreiben wäre der
|
||||
/// naheliegende Ausweg — und stünde danach in jedem Zugriffsprotokoll, in
|
||||
/// jedem Verlauf und in jedem weitergegebenen Link. Also ein Cookie.
|
||||
/// </remarks>
|
||||
[TestFixture]
|
||||
public sealed class WebInterfaceTests
|
||||
{
|
||||
[Test]
|
||||
public async Task Anmeldung_legt_ein_Cookie_ab()
|
||||
{
|
||||
using var server = new FlaroServer();
|
||||
await server.SetUpAndSignIn();
|
||||
|
||||
var antwort = await server.OhneGedaechtnis().PostAsJsonAsync("/api/v1/auth/login",
|
||||
new LoginRequest("guido", "ein-langes-passwort", "Browser", "browser-1"));
|
||||
|
||||
var gesetzt = antwort.Headers.GetValues("Set-Cookie").Single();
|
||||
|
||||
Assert.Multiple(() =>
|
||||
{
|
||||
Assert.That(gesetzt, Does.StartWith($"{TokenAuthenticationHandler.CookieName}="));
|
||||
// Kein Skript kommt heran, auch keines, das sich eingeschlichen hat.
|
||||
Assert.That(gesetzt, Does.Contain("httponly").IgnoreCase);
|
||||
// Eine fremde Seite kann damit nichts auslösen.
|
||||
Assert.That(gesetzt, Does.Contain("samesite=strict").IgnoreCase);
|
||||
// Über http wäre „secure" ein Cookie, das der Browser nie schickt —
|
||||
// und damit eine Oberfläche, die sich im Heimnetz nicht bedienen lässt.
|
||||
Assert.That(gesetzt, Does.Not.Contain("secure").IgnoreCase);
|
||||
});
|
||||
}
|
||||
|
||||
[Test]
|
||||
public async Task Cookie_allein_genuegt_fuer_eine_Anfrage()
|
||||
{
|
||||
using var server = new FlaroServer();
|
||||
await server.SetUpAndSignIn();
|
||||
|
||||
var client = server.OhneGedaechtnis();
|
||||
var angemeldet = await client.PostAsJsonAsync("/api/v1/auth/login",
|
||||
new LoginRequest("guido", "ein-langes-passwort", "Browser", "browser-1"));
|
||||
var keks = Keks(angemeldet);
|
||||
|
||||
// Ohne Kopfzeile — genau so, wie ein <img> fragt.
|
||||
var anfrage = new HttpRequestMessage(HttpMethod.Get, "/api/v1/movies");
|
||||
anfrage.Headers.Add("Cookie", keks);
|
||||
var antwort = await client.SendAsync(anfrage);
|
||||
|
||||
Assert.That(antwort.StatusCode, Is.EqualTo(HttpStatusCode.OK));
|
||||
}
|
||||
|
||||
[Test]
|
||||
public async Task Ohne_Cookie_und_ohne_Kopfzeile_bleibt_es_bei_401()
|
||||
{
|
||||
using var server = new FlaroServer();
|
||||
await server.SetUpAndSignIn();
|
||||
|
||||
var antwort = await server.OhneGedaechtnis().GetAsync("/api/v1/movies");
|
||||
|
||||
Assert.That(antwort.StatusCode, Is.EqualTo(HttpStatusCode.Unauthorized));
|
||||
}
|
||||
|
||||
[Test]
|
||||
public async Task Abmelden_entwertet_das_Cookie()
|
||||
{
|
||||
using var server = new FlaroServer();
|
||||
await server.SetUpAndSignIn();
|
||||
|
||||
var client = server.OhneGedaechtnis();
|
||||
var angemeldet = await client.PostAsJsonAsync("/api/v1/auth/login",
|
||||
new LoginRequest("guido", "ein-langes-passwort", "Browser", "browser-1"));
|
||||
var keks = Keks(angemeldet);
|
||||
|
||||
var abmelden = new HttpRequestMessage(HttpMethod.Post, "/api/v1/auth/logout");
|
||||
abmelden.Headers.Add("Cookie", keks);
|
||||
(await client.SendAsync(abmelden)).EnsureSuccessStatusCode();
|
||||
|
||||
// **Das Token muss serverseitig weg sein, nicht nur das Cookie im
|
||||
// Browser.** Ein gelöschtes Cookie schützt niemanden, der den Wert
|
||||
// vorher mitgeschrieben hat.
|
||||
var danach = new HttpRequestMessage(HttpMethod.Get, "/api/v1/movies");
|
||||
danach.Headers.Add("Cookie", keks);
|
||||
|
||||
Assert.That((await client.SendAsync(danach)).StatusCode,
|
||||
Is.EqualTo(HttpStatusCode.Unauthorized));
|
||||
}
|
||||
|
||||
/// <summary>Die Oberfläche kommt heraus, bevor jemand angemeldet ist.</summary>
|
||||
///
|
||||
/// <remarks>
|
||||
/// <b>Der Fehler, den dieser Test festhält.</b> Die Rückfallregel verlangt
|
||||
/// für jede Anfrage ohne eigenen Endpunkt einen angemeldeten Benutzer, und
|
||||
/// <c>/assets/index.js</c> hat keinen. Standen die statischen Dateien unter
|
||||
/// <c>UseAuthorization</c>, bekam ein neuer Besucher 401 auf genau das
|
||||
/// Skript, das ihm die Anmeldemaske zeichnen sollte: eine weisse Seite,
|
||||
/// ohne Hinweis worauf.
|
||||
/// </remarks>
|
||||
[Test]
|
||||
public async Task Die_Oberflaeche_braucht_keine_Anmeldung()
|
||||
{
|
||||
var wurzel = Path.Combine(Path.GetTempPath(), "flaro-www-" + Guid.CreateVersion7().ToString("N"));
|
||||
Directory.CreateDirectory(Path.Combine(wurzel, "wwwroot", "assets"));
|
||||
await File.WriteAllTextAsync(Path.Combine(wurzel, "wwwroot", "index.html"), "<!doctype html><title>Flaro</title>");
|
||||
await File.WriteAllTextAsync(Path.Combine(wurzel, "wwwroot", "assets", "app.js"), "export const da = true;");
|
||||
|
||||
try
|
||||
{
|
||||
using var server = new FlaroServer(inhaltswurzel: wurzel);
|
||||
var client = server.OhneGedaechtnis();
|
||||
|
||||
var seite = await client.GetAsync("/");
|
||||
var skript = await client.GetAsync("/assets/app.js");
|
||||
// Der Router läuft im Browser: ein Neuladen auf einer Unterseite
|
||||
// darf nicht in einem 404 enden.
|
||||
var unterseite = await client.GetAsync("/verwaltung");
|
||||
|
||||
Assert.Multiple(() =>
|
||||
{
|
||||
Assert.That(seite.StatusCode, Is.EqualTo(HttpStatusCode.OK));
|
||||
Assert.That(skript.StatusCode, Is.EqualTo(HttpStatusCode.OK));
|
||||
Assert.That(unterseite.StatusCode, Is.EqualTo(HttpStatusCode.OK));
|
||||
});
|
||||
|
||||
Assert.That(await skript.Content.ReadAsStringAsync(), Is.EqualTo("export const da = true;"));
|
||||
}
|
||||
finally
|
||||
{
|
||||
try { Directory.Delete(wurzel, recursive: true); } catch (IOException) { /* Aufräumen ist Kür */ }
|
||||
}
|
||||
}
|
||||
|
||||
/// <summary>Nimmt den Namen und den Wert aus der Set-Cookie-Kopfzeile.</summary>
|
||||
private static string Keks(HttpResponseMessage antwort) =>
|
||||
antwort.Headers.GetValues("Set-Cookie").Single().Split(';')[0];
|
||||
}
|
||||
Reference in New Issue
Block a user