diff --git a/auth.go b/auth.go
index 43ad3f7..0516759 100644
--- a/auth.go
+++ b/auth.go
@@ -133,9 +133,13 @@ func startSession(w http.ResponseWriter, r *http.Request, uid int64) error {
return nil
}
-func handleLogout(w http.ResponseWriter, r *http.Request) {
+func handleLogout(w http.ResponseWriter, r *http.Request) error {
+ // Scheitert das Löschen, bliebe die Session serverseitig gültig -- das
+ // muss der Client erfahren, statt ein "ok" zu sehen.
if s, ok := getSession(r); ok {
- db.Exec(`DELETE FROM session WHERE value = $1`, s.Value)
+ if _, err := db.Exec(`DELETE FROM session WHERE value = $1`, s.Value); err != nil {
+ return Internal(err)
+ }
}
http.SetCookie(w, &http.Cookie{
Name: "session",
@@ -148,6 +152,7 @@ func handleLogout(w http.ResponseWriter, r *http.Request) {
SameSite: http.SameSiteLaxMode,
})
writeJSON(w, http.StatusOK, map[string]string{"status": "ok"})
+ return nil
}
// handleNewUser sammelt alle Validierungsfehler ein, statt beim ersten
@@ -210,11 +215,6 @@ func handleSessionInfo(w http.ResponseWriter, r *http.Request) error {
return nil
}
-func handleHeaderbar(w http.ResponseWriter, r *http.Request) {
- _, ok := getSession(r)
- writeJSON(w, http.StatusOK, map[string]bool{"loggedin": ok})
-}
-
func sanitizeUsername(u string) string {
u = strings.TrimSpace(u)
// Auf 32 Zeichen (Runen) kürzen, nicht 32 Bytes -- sonst kann der Schnitt
diff --git a/db.go b/db.go
index ad06445..f6097d6 100644
--- a/db.go
+++ b/db.go
@@ -71,20 +71,6 @@ CREATE TABLE IF NOT EXISTS impression (
PRIMARY KEY (day, anon_ip, path)
);
--- Meldungen zu Beiträgen (DSA-Melde-/Abhilfeverfahren). Bewusst ohne Auth:
--- jeder darf melden, weil es eine Moderationshilfe ist. uid ist der Melder,
--- vorerst immer 0 (anonym) -- die Spalte existiert nur, um bei Spam später den
--- Absender nachziehen zu können, ohne das Schema zu ändern. handled: 0 offen,
--- 1 von der Moderation erledigt. reason ist ein optionaler Freitext.
-CREATE TABLE IF NOT EXISTS report (
- id BIGINT GENERATED ALWAYS AS IDENTITY PRIMARY KEY,
- pid BIGINT NOT NULL,
- uid BIGINT NOT NULL DEFAULT 0,
- reason TEXT NOT NULL DEFAULT '',
- created_at BIGINT NOT NULL,
- handled BIGINT NOT NULL DEFAULT 0
-);
-
-- Indizes für die häufigen Zugriffspfade; ohne sie werden Feed (ORDER BY
-- last_activity), Thread (WHERE reply_to) und Vote-Zähler (WHERE pid) mit
-- wachsender Tabelle zu Full-Table-Scans. username/session.value/vote(uid,pid)
@@ -94,7 +80,6 @@ CREATE INDEX IF NOT EXISTS idx_entry_reply_to ON entry(reply_to);
CREATE INDEX IF NOT EXISTS idx_entry_uid ON entry(uid);
CREATE INDEX IF NOT EXISTS idx_vote_pid ON vote(pid);
CREATE INDEX IF NOT EXISTS idx_session_uid ON session(uid);
-CREATE INDEX IF NOT EXISTS idx_report_open ON report(handled, created_at);
`
func initDB(dsn string) error {
diff --git a/endpoints_test.go b/endpoints_test.go
index 4a90c1b..3764dba 100644
--- a/endpoints_test.go
+++ b/endpoints_test.go
@@ -84,7 +84,7 @@ func registerAndLogin(t *testing.T, srv *httptest.Server, username string) *http
t.Helper()
c := newClient(t)
- resp := postForm(t, c, srv.URL+"/auth/newuser", url.Values{
+ resp := postForm(t, c, srv.URL+"/api/auth/newuser", url.Values{
"user": {username}, "pass1": {"supersecret1"}, "pass2": {"supersecret1"},
})
resp.Body.Close()
@@ -92,7 +92,7 @@ func registerAndLogin(t *testing.T, srv *httptest.Server, username string) *http
t.Fatalf("register %s: status %d", username, resp.StatusCode)
}
- resp = postForm(t, c, srv.URL+"/auth/login", url.Values{
+ resp = postForm(t, c, srv.URL+"/api/auth/login", url.Values{
"user": {username}, "pass": {"supersecret1"}, "timeout": {"86400"},
})
resp.Body.Close()
@@ -105,7 +105,7 @@ func registerAndLogin(t *testing.T, srv *httptest.Server, username string) *http
// createEntry erstellt einen Beitrag und liefert dessen pid.
func createEntry(t *testing.T, c *http.Client, srv *httptest.Server, content string) int64 {
t.Helper()
- resp := postForm(t, c, srv.URL+"/entry/create", url.Values{"content": {content}})
+ resp := postForm(t, c, srv.URL+"/api/entry/create", url.Values{"content": {content}})
defer resp.Body.Close()
if resp.StatusCode != http.StatusCreated {
t.Fatalf("create entry: status %d", resp.StatusCode)
@@ -119,44 +119,34 @@ func createEntry(t *testing.T, c *http.Client, srv *httptest.Server, content str
return out.PID
}
-func TestRegisterLoginHeaderbar(t *testing.T) {
+func TestRegisterLoginSession(t *testing.T) {
srv := newTestServer(t)
c := registerAndLogin(t, srv, "alice")
- resp, err := c.Get(srv.URL + "/auth/headerbar")
+ if got := getStatus(t, c, srv.URL+"/api/auth/sessioninfo"); got != http.StatusOK {
+ t.Fatalf("sessioninfo nach Login: erwartet 200, bekam %d", got)
+ }
+ // Anonymer Client hat keine Session.
+ if got := getStatus(t, newClient(t), srv.URL+"/api/auth/sessioninfo"); got != http.StatusUnauthorized {
+ t.Fatalf("sessioninfo anonym: erwartet 401, bekam %d", got)
+ }
+}
+
+// getStatus macht einen GET und liefert nur den Statuscode.
+func getStatus(t *testing.T, c *http.Client, urlStr string) int {
+ t.Helper()
+ resp, err := c.Get(urlStr)
if err != nil {
t.Fatal(err)
}
- defer resp.Body.Close()
-
- var h struct {
- LoggedIn bool `json:"loggedin"`
- }
- json.NewDecoder(resp.Body).Decode(&h)
- if !h.LoggedIn {
- t.Fatal("erwartete loggedin=true nach Login")
- }
-
- // Anonymer Client ist nicht eingeloggt.
- anon := newClient(t)
- resp2, err := anon.Get(srv.URL + "/auth/headerbar")
- if err != nil {
- t.Fatal(err)
- }
- defer resp2.Body.Close()
- var h2 struct {
- LoggedIn bool `json:"loggedin"`
- }
- json.NewDecoder(resp2.Body).Decode(&h2)
- if h2.LoggedIn {
- t.Fatal("anonymer Client sollte nicht eingeloggt sein")
- }
+ resp.Body.Close()
+ return resp.StatusCode
}
func TestFeedEmptyThenPopulated(t *testing.T) {
srv := newTestServer(t)
- resp, err := http.Get(srv.URL + "/entry/feed/0")
+ resp, err := http.Get(srv.URL + "/api/entry/feed/0")
if err != nil {
t.Fatal(err)
}
@@ -170,7 +160,7 @@ func TestFeedEmptyThenPopulated(t *testing.T) {
alice := registerAndLogin(t, srv, "alice")
createEntry(t, alice, srv, "hallo welt")
- resp, err = http.Get(srv.URL + "/entry/feed/0")
+ resp, err = http.Get(srv.URL + "/api/entry/feed/0")
if err != nil {
t.Fatal(err)
}
@@ -189,7 +179,7 @@ func TestCreateEntryRequiresAuth(t *testing.T) {
srv := newTestServer(t)
anon := newClient(t)
- resp := postForm(t, anon, srv.URL+"/entry/create", url.Values{"content": {"x"}})
+ resp := postForm(t, anon, srv.URL+"/api/entry/create", url.Values{"content": {"x"}})
resp.Body.Close()
if resp.StatusCode != http.StatusUnauthorized {
t.Fatalf("create ohne Login: erwartet 401, bekam %d", resp.StatusCode)
@@ -209,7 +199,7 @@ func TestVoting(t *testing.T) {
pid := createEntry(t, alice, srv, "vote me")
vote := func(c *http.Client, mode string) tally {
- resp := postForm(t, c, fmt.Sprintf("%s/entry/%d/vote", srv.URL, pid), url.Values{"mode": {mode}})
+ resp := postForm(t, c, fmt.Sprintf("%s/api/entry/%d/vote", srv.URL, pid), url.Values{"mode": {mode}})
defer resp.Body.Close()
if resp.StatusCode != http.StatusOK {
t.Fatalf("vote %s: status %d", mode, resp.StatusCode)
@@ -237,7 +227,7 @@ func TestVoteRequiresAuthAndValidMode(t *testing.T) {
srv := newTestServer(t)
alice := registerAndLogin(t, srv, "alice")
pid := createEntry(t, alice, srv, "x")
- voteURL := fmt.Sprintf("%s/entry/%d/vote", srv.URL, pid)
+ voteURL := fmt.Sprintf("%s/api/entry/%d/vote", srv.URL, pid)
anon := newClient(t)
resp := postForm(t, anon, voteURL, url.Values{"mode": {"left"}})
@@ -258,7 +248,7 @@ func TestBump(t *testing.T) {
alice := registerAndLogin(t, srv, "alice")
bob := registerAndLogin(t, srv, "bob")
pid := createEntry(t, alice, srv, "bump me")
- bumpURL := fmt.Sprintf("%s/entry/%d/bump", srv.URL, pid)
+ bumpURL := fmt.Sprintf("%s/api/entry/%d/bump", srv.URL, pid)
// Anonym: 401.
resp := postForm(t, newClient(t), bumpURL, url.Values{})
@@ -292,9 +282,9 @@ func TestBump(t *testing.T) {
// Gelöschter Beitrag lässt sich nicht bumpen.
del := createEntry(t, alice, srv, "weg gleich")
- resp = postForm(t, alice, fmt.Sprintf("%s/entry/%d/delete", srv.URL, del), url.Values{})
+ resp = postForm(t, alice, fmt.Sprintf("%s/api/entry/%d/delete", srv.URL, del), url.Values{})
resp.Body.Close()
- resp = postForm(t, alice, fmt.Sprintf("%s/entry/%d/bump", srv.URL, del), url.Values{})
+ resp = postForm(t, alice, fmt.Sprintf("%s/api/entry/%d/bump", srv.URL, del), url.Values{})
resp.Body.Close()
if resp.StatusCode != http.StatusNotFound {
t.Fatalf("bump gelöscht: erwartet 404, bekam %d", resp.StatusCode)
@@ -304,7 +294,7 @@ func TestBump(t *testing.T) {
// createReply erstellt eine Antwort auf parentPID und liefert deren pid.
func createReply(t *testing.T, c *http.Client, srv *httptest.Server, content string, parentPID int64) int64 {
t.Helper()
- resp := postForm(t, c, srv.URL+"/entry/create", url.Values{
+ resp := postForm(t, c, srv.URL+"/api/entry/create", url.Values{
"content": {content}, "reply_to": {fmt.Sprint(parentPID)},
})
defer resp.Body.Close()
@@ -336,7 +326,7 @@ type threadJSON struct {
func getThread(t *testing.T, srv *httptest.Server, pid int64) threadJSON {
t.Helper()
- resp, err := http.Get(fmt.Sprintf("%s/entry/%d/thread", srv.URL, pid))
+ resp, err := http.Get(fmt.Sprintf("%s/api/entry/%d/thread", srv.URL, pid))
if err != nil {
t.Fatal(err)
}
@@ -378,7 +368,7 @@ func TestThreading(t *testing.T) {
}
// Hauptfeed: nur der Root, keine Antworten.
- resp, _ := http.Get(srv.URL + "/entry/feed/0")
+ resp, _ := http.Get(srv.URL + "/api/entry/feed/0")
var feed []struct {
PID int64 `json:"pid"`
}
@@ -389,7 +379,7 @@ func TestThreading(t *testing.T) {
}
// Profil-Feed: alle drei Beiträge (Root + Antworten).
- resp, _ = http.Get(srv.URL + "/u/alice/feed/0")
+ resp, _ = http.Get(srv.URL + "/api/u/alice/feed/0")
var profile []struct {
PID int64 `json:"pid"`
}
@@ -406,7 +396,7 @@ func TestEditEntry(t *testing.T) {
bob := registerAndLogin(t, srv, "bob")
pid := createEntry(t, alice, srv, "original")
- editURL := fmt.Sprintf("%s/entry/%d/edit", srv.URL, pid)
+ editURL := fmt.Sprintf("%s/api/entry/%d/edit", srv.URL, pid)
// Eigentümer bearbeitet -> 200, neuer Inhalt sichtbar.
resp := postForm(t, alice, editURL, url.Values{"content": {"korrigiert"}})
@@ -433,14 +423,14 @@ func TestEditEntry(t *testing.T) {
}
// Unbekannte pid -> 404.
- resp = postForm(t, alice, srv.URL+"/entry/999999/edit", url.Values{"content": {"x"}})
+ resp = postForm(t, alice, srv.URL+"/api/entry/999999/edit", url.Values{"content": {"x"}})
resp.Body.Close()
if resp.StatusCode != http.StatusNotFound {
t.Fatalf("edit unbekannt: erwartet 404, bekam %d", resp.StatusCode)
}
// Nach Soft-Delete ist der Beitrag nicht mehr bearbeitbar (uid=0) -> 403.
- postForm(t, alice, fmt.Sprintf("%s/entry/%d/delete", srv.URL, pid), url.Values{}).Body.Close()
+ postForm(t, alice, fmt.Sprintf("%s/api/entry/%d/delete", srv.URL, pid), url.Values{}).Body.Close()
resp = postForm(t, alice, editURL, url.Values{"content": {"wieder da"}})
resp.Body.Close()
if resp.StatusCode != http.StatusForbidden {
@@ -456,7 +446,7 @@ func TestSoftDelete(t *testing.T) {
root := createEntry(t, alice, srv, "wurzel")
reply := createReply(t, alice, srv, "antwort", root)
- delURL := fmt.Sprintf("%s/entry/%d/delete", srv.URL, root)
+ delURL := fmt.Sprintf("%s/api/entry/%d/delete", srv.URL, root)
// Fremder darf nicht löschen.
resp := postForm(t, bob, delURL, url.Values{})
@@ -482,7 +472,7 @@ func TestSoftDelete(t *testing.T) {
}
// Der gelöschte Root erscheint weiterhin im Hauptfeed (Thread bleibt erreichbar).
- feedResp, _ := http.Get(srv.URL + "/entry/feed/0")
+ feedResp, _ := http.Get(srv.URL + "/api/entry/feed/0")
var feed []threadEntry
json.NewDecoder(feedResp.Body).Decode(&feed)
feedResp.Body.Close()
@@ -491,7 +481,7 @@ func TestSoftDelete(t *testing.T) {
}
// Nicht existierender Beitrag -> 404.
- resp = postForm(t, alice, srv.URL+"/entry/999999/delete", url.Values{})
+ resp = postForm(t, alice, srv.URL+"/api/entry/999999/delete", url.Values{})
resp.Body.Close()
if resp.StatusCode != http.StatusNotFound {
t.Fatalf("delete unbekannt: erwartet 404, bekam %d", resp.StatusCode)
@@ -504,21 +494,21 @@ func TestRenameUser(t *testing.T) {
registerAndLogin(t, srv, "bob")
// Zu kurz -> 400.
- resp := postForm(t, alice, srv.URL+"/user/rename", url.Values{"user": {"ab"}})
+ resp := postForm(t, alice, srv.URL+"/api/user/rename", url.Values{"user": {"ab"}})
resp.Body.Close()
if resp.StatusCode != http.StatusBadRequest {
t.Fatalf("zu kurz: erwartet 400, bekam %d", resp.StatusCode)
}
// Bereits vergeben -> 409.
- resp = postForm(t, alice, srv.URL+"/user/rename", url.Values{"user": {"bob"}})
+ resp = postForm(t, alice, srv.URL+"/api/user/rename", url.Values{"user": {"bob"}})
resp.Body.Close()
if resp.StatusCode != http.StatusConflict {
t.Fatalf("vergeben: erwartet 409, bekam %d", resp.StatusCode)
}
// Gültig -> 200 + neuer Name.
- resp = postForm(t, alice, srv.URL+"/user/rename", url.Values{"user": {"alice2"}})
+ resp = postForm(t, alice, srv.URL+"/api/user/rename", url.Values{"user": {"alice2"}})
defer resp.Body.Close()
if resp.StatusCode != http.StatusOK {
t.Fatalf("rename: erwartet 200, bekam %d", resp.StatusCode)
@@ -532,12 +522,12 @@ func TestRenameUser(t *testing.T) {
}
// Profil unter dem neuen Namen erreichbar, alter Name weg.
- r2, _ := http.Get(srv.URL + "/u/alice2/info")
+ r2, _ := http.Get(srv.URL + "/api/u/alice2/info")
r2.Body.Close()
if r2.StatusCode != http.StatusOK {
t.Fatalf("/u/alice2/info: erwartet 200, bekam %d", r2.StatusCode)
}
- r3, _ := http.Get(srv.URL + "/u/alice/info")
+ r3, _ := http.Get(srv.URL + "/api/u/alice/info")
r3.Body.Close()
if r3.StatusCode != http.StatusNotFound {
t.Fatalf("/u/alice/info: erwartet 404, bekam %d", r3.StatusCode)
@@ -554,14 +544,14 @@ func TestDeleteUser(t *testing.T) {
reply := createReply(t, bob, srv, "bobs antwort", root)
// Falsches Passwort -> 403.
- resp := postForm(t, alice, srv.URL+"/user/delete", url.Values{"pass1": {"falsch"}})
+ resp := postForm(t, alice, srv.URL+"/api/user/delete", url.Values{"pass1": {"falsch"}})
resp.Body.Close()
if resp.StatusCode != http.StatusForbidden {
t.Fatalf("falsches Passwort: erwartet 403, bekam %d", resp.StatusCode)
}
// Richtiges Passwort -> 200.
- resp = postForm(t, alice, srv.URL+"/user/delete", url.Values{"pass1": {"supersecret1"}})
+ resp = postForm(t, alice, srv.URL+"/api/user/delete", url.Values{"pass1": {"supersecret1"}})
resp.Body.Close()
if resp.StatusCode != http.StatusOK {
t.Fatalf("delete: erwartet 200, bekam %d", resp.StatusCode)
@@ -569,7 +559,7 @@ func TestDeleteUser(t *testing.T) {
// Login danach schlägt fehl.
fresh := newClient(t)
- resp = postForm(t, fresh, srv.URL+"/auth/login", url.Values{
+ resp = postForm(t, fresh, srv.URL+"/api/auth/login", url.Values{
"user": {"alice"}, "pass": {"supersecret1"}, "timeout": {"86400"},
})
resp.Body.Close()
@@ -613,34 +603,74 @@ func TestLogoutPost(t *testing.T) {
srv := newTestServer(t)
c := registerAndLogin(t, srv, "alice")
- resp, err := c.Get(srv.URL + "/auth/logout")
- if err != nil {
- t.Fatal(err)
+ if got := getStatus(t, c, srv.URL+"/api/auth/logout"); got != http.StatusMethodNotAllowed {
+ t.Fatalf("GET logout: erwartet 405, bekam %d", got)
}
- resp.Body.Close()
- // GET fällt in den FileServer-Catch-All -> 404. Hauptsache: kein Logout.
- if resp.StatusCode != http.StatusNotFound {
- t.Fatalf("GET logout: erwartet 404, bekam %d", resp.StatusCode)
+ if got := getStatus(t, c, srv.URL+"/api/auth/sessioninfo"); got != http.StatusOK {
+ t.Fatalf("GET logout darf nicht ausloggen, sessioninfo: %d", got)
}
- resp = postForm(t, c, srv.URL+"/auth/logout", url.Values{})
+ resp := postForm(t, c, srv.URL+"/api/auth/logout", url.Values{})
resp.Body.Close()
if resp.StatusCode != http.StatusOK {
t.Fatalf("POST logout: erwartet 200, bekam %d", resp.StatusCode)
}
+ if got := getStatus(t, c, srv.URL+"/api/auth/sessioninfo"); got != http.StatusUnauthorized {
+ t.Fatalf("nach Logout: erwartet 401, bekam %d", got)
+ }
+}
- resp, err = c.Get(srv.URL + "/auth/headerbar")
+// TestAPIErrorsAreJSON prüft, dass auch Fehler außerhalb der Handler (unbekannter
+// Pfad, falsche Methode, Rate-Limit, Panic) als JSON mit passendem Status
+// hinausgehen.
+func TestAPIErrorsAreJSON(t *testing.T) {
+ srv := newTestServer(t)
+
+ check := func(name string, resp *http.Response, wantStatus int, wantCode string) {
+ t.Helper()
+ defer resp.Body.Close()
+ if resp.StatusCode != wantStatus {
+ t.Fatalf("%s: erwartet %d, bekam %d", name, wantStatus, resp.StatusCode)
+ }
+ if ct := resp.Header.Get("Content-Type"); ct != "application/json" {
+ t.Fatalf("%s: Content-Type %q", name, ct)
+ }
+ var body struct {
+ Error apiErrorBody `json:"error"`
+ }
+ if err := json.NewDecoder(resp.Body).Decode(&body); err != nil || body.Error.Code != wantCode {
+ t.Fatalf("%s: erwartet code %q, bekam %+v (%v)", name, wantCode, body, err)
+ }
+ }
+
+ resp, err := http.Get(srv.URL + "/api/gibtsnicht")
if err != nil {
t.Fatal(err)
}
- defer resp.Body.Close()
- var h struct {
- LoggedIn bool `json:"loggedin"`
+ check("unbekannter Pfad", resp, http.StatusNotFound, "api.not_found")
+
+ resp, err = http.Get(srv.URL + "/api/entry/create")
+ if err != nil {
+ t.Fatal(err)
}
- json.NewDecoder(resp.Body).Decode(&h)
- if h.LoggedIn {
- t.Fatal("nach Logout sollte loggedin=false sein")
+ check("falsche Methode", resp, http.StatusMethodNotAllowed, "api.method_not_allowed")
+
+ limited := limitByIP(1, time.Minute)(http.HandlerFunc(func(w http.ResponseWriter, _ *http.Request) {}))
+ for i, want := range []int{http.StatusOK, http.StatusTooManyRequests} {
+ rec := httptest.NewRecorder()
+ limited.ServeHTTP(rec, httptest.NewRequest(http.MethodPost, "/", nil))
+ if rec.Code != want {
+ t.Fatalf("rate-limit Anfrage %d: erwartet %d, bekam %d", i+1, want, rec.Code)
+ }
+ if want == http.StatusTooManyRequests {
+ check("rate-limit", rec.Result(), want, "rate.limited")
+ }
}
+
+ rec := httptest.NewRecorder()
+ recoverJSON(http.HandlerFunc(func(http.ResponseWriter, *http.Request) { panic("kaputt") })).
+ ServeHTTP(rec, httptest.NewRequest(http.MethodGet, "/", nil))
+ check("panic", rec.Result(), http.StatusInternalServerError, "internal")
}
// TestCrossOriginPostRejected prüft den CSRF-Schutz: POSTs mit fremdem
@@ -650,7 +680,7 @@ func TestCrossOriginPostRejected(t *testing.T) {
c := registerAndLogin(t, srv, "alice")
post := func(origin string) int {
- req, err := http.NewRequest(http.MethodPost, srv.URL+"/entry/create",
+ req, err := http.NewRequest(http.MethodPost, srv.URL+"/api/entry/create",
strings.NewReader(url.Values{"content": {"x"}}.Encode()))
if err != nil {
t.Fatal(err)
@@ -706,13 +736,13 @@ func TestBlockTOREntry(t *testing.T) {
srv := newTestServer(t)
c := registerAndLogin(t, srv, "toruser")
- resp := postFormFrom(t, c, srv.URL+"/entry/create", "10.89.1.2", url.Values{"content": {"aus tor"}})
+ resp := postFormFrom(t, c, srv.URL+"/api/entry/create", "10.89.1.2", url.Values{"content": {"aus tor"}})
resp.Body.Close()
if resp.StatusCode != http.StatusForbidden {
t.Fatalf("TOR-Beitrag: erwartet 403, bekam %d", resp.StatusCode)
}
- resp = postFormFrom(t, c, srv.URL+"/entry/create", "203.0.113.7", url.Values{"content": {"normal"}})
+ resp = postFormFrom(t, c, srv.URL+"/api/entry/create", "203.0.113.7", url.Values{"content": {"normal"}})
resp.Body.Close()
if resp.StatusCode != http.StatusCreated {
t.Fatalf("Nicht-TOR-Beitrag: erwartet 201, bekam %d", resp.StatusCode)
diff --git a/entry.go b/entry.go
index 805c895..2e530fe 100644
--- a/entry.go
+++ b/entry.go
@@ -9,7 +9,6 @@ import (
"image/jpeg"
_ "image/png"
"io"
- "log"
"math/rand/v2"
"mime/multipart"
"net/http"
@@ -480,48 +479,26 @@ func handleBump(w http.ResponseWriter, r *http.Request) error {
return nil
}
-// voteTally liefert die Zähler und die eigene Auswahl (selected) für einen Beitrag.
-// Ist uid == 0 (nicht eingeloggt), ist selected immer "none".
-func voteTally(pid, uid int64) (left, right int, selected string) {
- selected = "none"
- if uid != 0 {
- var cur string
- if err := db.QueryRow(`SELECT mode FROM vote WHERE uid = $1 AND pid = $2`, uid, pid).Scan(&cur); err == nil {
- selected = cur
- }
+// writeTally schreibt die Zähler und die eigene Auswahl (selected) für einen
+// Beitrag. Ist uid == 0 (nicht eingeloggt), ist selected immer "none".
+func writeTally(w http.ResponseWriter, pid, uid int64) error {
+ var left, right int64
+ var selected string
+ if err := db.QueryRow(
+ `SELECT COUNT(*) FILTER (WHERE mode = 'left'),
+ COUNT(*) FILTER (WHERE mode = 'right'),
+ COALESCE(MAX(mode) FILTER (WHERE uid = $2), 'none')
+ FROM vote WHERE pid = $1`, pid, uid).
+ Scan(&left, &right, &selected); err != nil {
+ return Internal(err)
}
- // Beide Zähler in einem Query statt zwei COUNTs.
- rows, err := db.Query(`SELECT mode, COUNT(*) FROM vote WHERE pid = $1 GROUP BY mode`, pid)
- if err != nil {
- log.Printf("voteTally pid=%d: %v", pid, err)
- return
- }
- defer rows.Close()
- for rows.Next() {
- var mode string
- var n int
- if err := rows.Scan(&mode, &n); err != nil {
- log.Printf("voteTally pid=%d: %v", pid, err)
- return
- }
- switch mode {
- case "left":
- left = n
- case "right":
- right = n
- }
- }
- return
-}
-
-func writeTally(w http.ResponseWriter, pid, uid int64) {
- left, right, selected := voteTally(pid, uid)
writeJSON(w, http.StatusOK, map[string]any{
"pid": pid,
"left": left,
"right": right,
"selected": selected,
})
+ return nil
}
// handleVotes liest den Abstimmungsstand eines Beitrags (read-only, öffentlich).
@@ -535,34 +512,7 @@ func handleVotes(w http.ResponseWriter, r *http.Request) error {
if s, ok := getSession(r); ok {
uid = s.UID
}
- writeTally(w, pid, uid)
- return nil
-}
-
-// handleReport nimmt eine Meldung zu einem Beitrag entgegen (DSA-Melde-
-// verfahren). Bewusst ohne Auth -- jeder darf melden, weil es eine
-// Moderationshilfe ist. Die Melder-uid wird vorerst nicht gespeichert (immer
-// 0); nur der optionale Grund landet in der DB. Die Route ist per IP
-// rate-limited (siehe main.go), damit der offene Endpunkt kein Spam-Kanal wird.
-func handleReport(w http.ResponseWriter, r *http.Request) error {
- pid, err := pidParam(r)
- if err != nil {
- return err
- }
- // Nur existierende Beiträge melden, sonst entstehen Waisen-Meldungen.
- if _, err := entryByPID(pid); err != nil {
- return errEntryNotFound
- }
- reason := truncateRunes(strings.TrimSpace(r.FormValue("reason")), 500)
- if _, err := db.Exec(
- `INSERT INTO report (pid, uid, reason, created_at, handled) VALUES ($1, 0, $2, $3, 0)`,
- pid, reason, time.Now().Unix(),
- ); err != nil {
- return Internal(err)
- }
-
- writeJSON(w, http.StatusOK, map[string]any{"ok": true})
- return nil
+ return writeTally(w, pid, uid)
}
// handleVote gibt die Stimme des angemeldeten Nutzers ab oder schaltet sie um:
@@ -604,8 +554,7 @@ func handleVote(w http.ResponseWriter, r *http.Request) error {
}
}
- writeTally(w, pid, uid)
- return nil
+ return writeTally(w, pid, uid)
}
const (
diff --git a/errors.go b/errors.go
index 7941bfb..5a08c3b 100644
--- a/errors.go
+++ b/errors.go
@@ -10,23 +10,22 @@ import (
// Fehler-Aufrufstelle verklebt waren -- wie schwer der Fehler ist (Kind),
// was genau passiert ist (Code) und was der Nutzer lesen soll (Msg).
//
-// Der Sinn der Trennung: derselbe Fehler muss künftig von zwei Adaptern
-// unterschiedlich dargestellt werden. Der HTML-Pfad braucht Msg und Field, um
-// ein Formular mit Fehlermarkierung neu zu rendern; ein API-Client braucht
-// Code, um ohne Parsen deutscher Strings reagieren zu können.
+// Der Sinn der Trennung: das Frontend zeigt Msg an und markiert Field, ein
+// Client braucht Code, um ohne Parsen deutscher Strings reagieren zu können,
+// und der HTTP-Status ergibt sich allein aus Kind.
type Kind uint8
const (
- KindInternal Kind = iota // Bug oder Infrastruktur -- Ursache nie nach außen
- KindInvalid // Eingabe passt nicht
- KindUnauth // nicht angemeldet
- KindForbidden // angemeldet, aber nicht erlaubt
- KindNotFound // Objekt existiert nicht (oder soll nicht sichtbar sein)
- KindConflict // Name vergeben, Doppel-Post
- KindTooLarge // Upload über dem Limit
- KindRateLimited // zu viele Anfragen
- KindUnavailable // Feature nicht konfiguriert
+ KindInternal Kind = iota // Bug oder Infrastruktur -- Ursache nie nach außen
+ KindInvalid // Eingabe passt nicht
+ KindUnauth // nicht angemeldet
+ KindForbidden // angemeldet, aber nicht erlaubt
+ KindNotFound // Objekt existiert nicht (oder soll nicht sichtbar sein)
+ KindConflict // Name vergeben, Doppel-Post
+ KindTooLarge // Upload über dem Limit
+ KindRateLimited // zu viele Anfragen
+ KindMethodNotAllowed // Route existiert, aber nicht mit dieser Methode
)
// Error ist der Fehlertyp, den die Service-Schicht nach oben gibt. Kind ist
@@ -56,7 +55,9 @@ func NotFound(code, msg string) *Error { return &Error{Kind: KindNotFound, Co
func Conflict(code, msg string) *Error { return &Error{Kind: KindConflict, Code: code, Msg: msg} }
func TooLarge(code, msg string) *Error { return &Error{Kind: KindTooLarge, Code: code, Msg: msg} }
func RateLimited(code, msg string) *Error { return &Error{Kind: KindRateLimited, Code: code, Msg: msg} }
-func Unavailable(code, msg string) *Error { return &Error{Kind: KindUnavailable, Code: code, Msg: msg} }
+func MethodNotAllowed(code, msg string) *Error {
+ return &Error{Kind: KindMethodNotAllowed, Code: code, Msg: msg}
+}
// Internal verschluckt die Ursache absichtlich: der Nutzer sieht nie einen
// DB- oder Dateisystemfehler (der Interna und Pfade verraten würde), das Log
@@ -102,9 +103,7 @@ func asError(err error) *Error {
return Internal(err)
}
-// statusOf bildet Kind auf HTTP ab. Beide HTTP-Adapter (HTML und JSON) teilen
-// sich diese Zuordnung -- unterschiedliche Statuscodes für denselben Fehler
-// wären genau die Divergenz, die die Taxonomie verhindern soll.
+// statusOf bildet Kind auf HTTP ab -- die einzige Stelle, an der das passiert.
func statusOf(k Kind) int {
switch k {
case KindInvalid:
@@ -121,17 +120,15 @@ func statusOf(k Kind) int {
return http.StatusRequestEntityTooLarge
case KindRateLimited:
return http.StatusTooManyRequests
- case KindUnavailable:
- return http.StatusServiceUnavailable
+ case KindMethodNotAllowed:
+ return http.StatusMethodNotAllowed
default:
return http.StatusInternalServerError
}
}
// logInternal protokolliert nur echte Serverfehler -- Validierungs- und
-// Rechtefehler sind normaler Betrieb und würden das Log zumüllen. Beide
-// Adapter rufen das auf, damit ein Fehler unabhängig vom Ausgabeformat
-// genau einmal im Log landet.
+// Rechtefehler sind normaler Betrieb und würden das Log zumüllen.
func logInternal(e *Error) {
if e.Kind != KindInternal {
return
diff --git a/importsqlite.go b/importsqlite.go
index 97ae337..87bbab9 100644
--- a/importsqlite.go
+++ b/importsqlite.go
@@ -23,7 +23,6 @@ var importTables = []importTable{
"reply_count", "last_activity", "deleted", "bump_count", "last_bump"}, true},
{"vote", "vote", []string{"id", "uid", "pid", "mode"}, true},
{"impression", "impression", []string{"day", "anon_ip", "path", "asn", "hits"}, false},
- {"report", "report", []string{"id", "pid", "uid", "reason", "created_at", "handled"}, true},
}
// importSQLite kopiert alle Daten aus der SQLite-Datei path in die (per initDB
diff --git a/kver.env.example b/kver.env.example
index 15f1910..b61075e 100644
--- a/kver.env.example
+++ b/kver.env.example
@@ -12,12 +12,6 @@
# Postgres-Verbindung. PFLICHT. Sonderzeichen im Passwort URL-kodieren.
KVER_DSN=postgres://kver:passwort@host:5432/kontrollverlust?sslmode=disable
-# Basic-Auth für die Moderationsseite /moderation. PFLICHT: ohne diese beiden
-# Werte bleibt /moderation gesperrt (HTTP 503, fail-closed). Langes Zufalls-
-# passwort verwenden.
-KVER_MOD_USER=moderator
-KVER_MOD_PASS=hier-ein-langes-zufallspasswort
-
# Optional: Pfad zur GeoLite2-ASN-DB im Container (leer = ASN-Auflösung aus).
#KVER_GEOIP_ASN=/app/data/GeoLite2-ASN.mmdb
diff --git a/main.go b/main.go
index a0883af..72d3583 100644
--- a/main.go
+++ b/main.go
@@ -3,11 +3,13 @@ package main
import (
"context"
"encoding/json"
+ "fmt"
"log"
"net/http"
"net/url"
"os"
"os/signal"
+ "runtime/debug"
"syscall"
"time"
@@ -98,6 +100,10 @@ func envOr(key, fallback string) string {
// routes baut den HTTP-Handler mit allen Endpunkten. In main() und in den
// Tests identisch verwendet.
+//
+// Aufteilung: alles unter /api spricht ausschließlich JSON -- auch 404, 405,
+// Rate-Limit und Panics. Der Rest liefert die HTML-Seiten und Dateien des
+// Frontends.
func routes() http.Handler {
r := chi.NewRouter()
// RealIP übernimmt X-Forwarded-For/X-Real-IP vom Reverse-Proxy, damit
@@ -107,65 +113,65 @@ func routes() http.Handler {
// spoofbar.
r.Use(middleware.RealIP)
r.Use(middleware.Logger)
- r.Use(middleware.Recoverer)
+ r.Use(recoverJSON)
r.Use(secHeaders)
r.Use(checkOrigin)
- // --- Auth (öffentlich) ---
- // Login und Registrierung pro IP drosseln (Brute-Force-Bremse). bcrypt bremst
- // zusätzlich, aber das Limit kappt automatisiertes Durchprobieren früh.
- r.Group(func(r chi.Router) {
- r.Use(httprate.LimitByIP(20, time.Minute))
- r.Post("/auth/login", api(handleLogin))
- r.Post("/auth/newuser", api(handleNewUser))
+ r.Route("/api", func(r chi.Router) {
+ r.NotFound(api(func(http.ResponseWriter, *http.Request) error {
+ return NotFound("api.not_found", "Unbekannter Endpunkt.")
+ }))
+ r.MethodNotAllowed(api(func(http.ResponseWriter, *http.Request) error {
+ return MethodNotAllowed("api.method_not_allowed", "Methode nicht erlaubt.")
+ }))
+
+ // --- Auth (öffentlich) ---
+ // Login und Registrierung pro IP drosseln (Brute-Force-Bremse). bcrypt
+ // bremst zusätzlich, aber das Limit kappt automatisiertes Durchprobieren
+ // früh.
+ r.Group(func(r chi.Router) {
+ r.Use(limitByIP(20, time.Minute))
+ r.Post("/auth/login", api(handleLogin))
+ r.Post("/auth/newuser", api(handleNewUser))
+ })
+ // Logout als POST: SameSite=Lax schickt Cookies bei Top-Level-GET-
+ // Navigationen mit -- als GET könnte eine fremde Seite Nutzer per Link
+ // ausloggen (CSRF). POST ist durch Lax + checkOrigin gedeckt.
+ r.Post("/auth/logout", api(handleLogout))
+ r.Get("/auth/sessioninfo", api(handleSessionInfo))
+ r.Get("/stats", api(handleStats))
+ r.Get("/stats/detail", api(handleStatsDetail))
+
+ // --- Entries (öffentlich) ---
+ r.Get("/entry/feed/{page}", api(handleFeed))
+ r.Get("/entry/{pid}/votes", api(handleVotes))
+ r.Get("/entry/{pid}/thread", api(handleThread))
+
+ // --- User (öffentlich) ---
+ r.Get("/u/{username}/info", api(handleUserPage))
+ r.Get("/u/{username}/feed/{page}", api(handleUserFeed))
+
+ // --- Geschützt (Session erforderlich) ---
+ r.Group(func(r chi.Router) {
+ r.Use(requireAuth)
+ r.With(blockTOR).Post("/entry/create", api(handleCreateEntry))
+ r.Post("/entry/{pid}/vote", api(handleVote))
+ r.Post("/entry/{pid}/bump", api(handleBump))
+ r.Post("/entry/{pid}/edit", api(handleEditEntry))
+ r.Post("/entry/{pid}/delete", api(handleDeleteEntry))
+ r.Get("/user/info", api(handleUserInfo))
+ r.Post("/user/rename", api(handleUserRename))
+ r.Post("/user/avatar", api(handleSetAvatar))
+ r.Post("/user/delete", api(handleUserDelete))
+ })
})
- // Logout als POST: SameSite=Lax schickt Cookies bei Top-Level-GET-
- // Navigationen mit -- als GET könnte eine fremde Seite Nutzer per Link
- // ausloggen (CSRF). POST ist durch Lax + checkOrigin gedeckt.
- r.Post("/auth/logout", handleLogout)
- r.Get("/auth/sessioninfo", api(handleSessionInfo))
- r.Get("/auth/headerbar", handleHeaderbar)
- r.Get("/stats", handleStats)
- r.Get("/stats/detail", handleStatsDetail)
- // Moderations-Queue (Meldungen). Basic-Auth direkt in der App (modBasicAuth),
- // weil TOR-Zugriffe die Go-App direkt erreichen und NICHT über Caddy laufen --
- // ein rein proxy-seitiger Schutz hätte diese Lücke offen gelassen. Caddy
- // erzwingt zusätzlich TLS für den Clearnet-Weg.
- r.With(modBasicAuth).Get("/moderation", api(handleModeration))
-
- // HTML-Seiten: mit Impression-Tracking (anonymisiert, siehe stats.go). Nur
- // echte Seitenaufrufe, nicht API/Assets.
+ // --- HTML-Seiten ---
+ // Mit Impression-Tracking (anonymisiert, siehe stats.go). Nur echte
+ // Seitenaufrufe, nicht API/Assets.
r.With(trackImpression).Get("/", serveIndex)
-
- // --- Entries ---
- r.Get("/entry/feed/{page}", api(handleFeed))
- r.Get("/entry/{pid}/votes", api(handleVotes))
- r.Get("/entry/{pid}/thread", api(handleThread))
r.With(trackImpression).Get("/e/{pid}", serveEntryPage)
-
- // Melden: öffentlich (jeder darf melden, Moderationshilfe), aber pro IP
- // gedrosselt, damit der auth-lose Endpunkt nicht zum Spam-Kanal wird.
- r.With(httprate.LimitByIP(10, time.Minute)).Post("/entry/{pid}/report", api(handleReport))
-
- // --- User (öffentlich) ---
r.With(trackImpression).Get("/u/{username}", serveUserPage)
- r.Get("/u/{username}/info", api(handleUserPage))
- r.Get("/u/{username}/feed/{page}", api(handleUserFeed))
-
- // --- Geschützt (Session erforderlich) ---
- r.Group(func(r chi.Router) {
- r.Use(requireAuth)
- r.With(blockTOR).Post("/entry/create", api(handleCreateEntry))
- r.Post("/entry/{pid}/vote", api(handleVote))
- r.Post("/entry/{pid}/bump", api(handleBump))
- r.Post("/entry/{pid}/edit", api(handleEditEntry))
- r.Post("/entry/{pid}/delete", api(handleDeleteEntry))
- r.Get("/user/info", api(handleUserInfo))
- r.Post("/user/rename", api(handleUserRename))
- r.Post("/user/avatar", api(handleSetAvatar))
- r.Post("/user/delete", api(handleUserDelete))
- })
// Hochgeladene Medien + alte statische Assets. nosniff (global via
// secHeaders) verhindert, dass der Browser eine durchgereichte (nicht
@@ -173,12 +179,42 @@ func routes() http.Handler {
// Polyglot/Stored-XSS über Bild-Uploads.
r.Handle("/static/*", http.StripPrefix("/static/", http.FileServer(http.Dir("static"))))
- // Neues JS-Frontend
+ // Frontend-Dateien (JS, CSS, weitere Seiten)
r.Handle("/*", http.FileServer(http.Dir("web")))
return r
}
+// limitByIP ist httprate.LimitByIP mit JSON-Antwort statt des Klartext-429.
+func limitByIP(n int, window time.Duration) func(http.Handler) http.Handler {
+ return httprate.Limit(n, window,
+ httprate.WithKeyFuncs(httprate.KeyByIP),
+ httprate.WithLimitHandler(api(func(http.ResponseWriter, *http.Request) error {
+ return RateLimited("rate.limited", "Zu viele Anfragen. Bitte kurz warten.")
+ })),
+ )
+}
+
+// recoverJSON ersetzt middleware.Recoverer: eine Panic wird geloggt (mit Stack)
+// und als normaler 500 im JSON-Fehlerformat beantwortet. http.ErrAbortHandler
+// ist ein gewollter Verbindungsabbruch und wird durchgereicht.
+func recoverJSON(next http.Handler) http.Handler {
+ return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+ defer func() {
+ rec := recover()
+ if rec == nil {
+ return
+ }
+ if rec == http.ErrAbortHandler {
+ panic(rec)
+ }
+ log.Printf("panic: %v\n%s", rec, debug.Stack())
+ writeAPIError(w, Internal(fmt.Errorf("panic: %v", rec)))
+ }()
+ next.ServeHTTP(w, r)
+ })
+}
+
// secHeaders setzt Standard-Security-Header auf alle Antworten:
// - nosniff: Browser darf den deklarierten Content-Type nicht überstimmen
// (wichtig für durchgereichte GIF-Uploads, siehe storeImage).
diff --git a/middleware.go b/middleware.go
index 9b844df..5e43f8e 100644
--- a/middleware.go
+++ b/middleware.go
@@ -16,7 +16,7 @@ const uidKey ctxKey = "uid"
// der Onion-Hidden-Service reicht über einen lokalen Proxy weiter, eine echte
// Client-IP gibt es dabei nicht -> die Anfragen erscheinen mit einer IP aus
// diesem Netz (siehe Impression-Log: 10.89.0.0). Beiträge von dort werden
-// vorerst komplett abgewiesen; eine Moderations-/Freigabeseite kommt später.
+// vorerst komplett abgewiesen.
// Per KVER_TOR_NET (CIDR) konfigurierbar; leer schaltet die Sperre ab.
var torNet *net.IPNet
diff --git a/moderation.go b/moderation.go
deleted file mode 100644
index f4bbf00..0000000
--- a/moderation.go
+++ /dev/null
@@ -1,147 +0,0 @@
-package main
-
-import (
- "crypto/sha256"
- "crypto/subtle"
- "html/template"
- "log"
- "net/http"
- "time"
-)
-
-// modBasicAuth schützt die Moderationsseite per HTTP Basic Auth direkt in der
-// App. Nötig, weil TOR-Zugriffe direkt an die Go-App gehen und NICHT über Caddy
-// laufen -- der proxy-seitige Schutz greift dort also nicht. Credentials kommen
-// aus KVER_MOD_USER/KVER_MOD_PASS und werden einmalig beim Routing-Aufbau
-// gelesen. Fail-closed: sind sie nicht gesetzt, bleibt die Seite gesperrt (503),
-// damit sie nie versehentlich offen ist. Fehler gehen wie überall als JSON
-// hinaus; der Browser zeigt den Login-Dialog trotzdem (WWW-Authenticate). Vergleich über SHA-256 + ConstantTime,
-// damit weder Inhalt noch Länge der Credentials über Timing durchsickern.
-func modBasicAuth(next http.Handler) http.Handler {
- wantUser := envOr("KVER_MOD_USER", "")
- wantPass := envOr("KVER_MOD_PASS", "")
- // Einmalig beim Routing-Aufbau warnen statt bei jedem Request: der Hinweis
- // richtet sich an den Betreiber, nicht an den Besucher. Die Namen der
- // Umgebungsvariablen bleiben deshalb auch aus der Fehlerseite heraus --
- // die Seite ist öffentlich erreichbar.
- if wantUser == "" || wantPass == "" {
- log.Printf("moderation gesperrt: KVER_MOD_USER/KVER_MOD_PASS nicht gesetzt")
- }
- return guard(func(w http.ResponseWriter, r *http.Request) error {
- if wantUser == "" || wantPass == "" {
- return Unavailable("mod.not_configured", "Die Moderationsseite ist nicht konfiguriert.")
- }
- u, p, ok := r.BasicAuth()
- uSum, wuSum := sha256.Sum256([]byte(u)), sha256.Sum256([]byte(wantUser))
- pSum, wpSum := sha256.Sum256([]byte(p)), sha256.Sum256([]byte(wantPass))
- userOK := subtle.ConstantTimeCompare(uSum[:], wuSum[:]) == 1
- passOK := subtle.ConstantTimeCompare(pSum[:], wpSum[:]) == 1
- if !ok || !userOK || !passOK {
- // Der Header muss vor dem Rendern stehen, sonst fragt der Browser
- // nicht nach Zugangsdaten -- deshalb bekommt der Prüfschritt hier
- // den ResponseWriter.
- w.Header().Set("WWW-Authenticate", `Basic realm="Moderation", charset="UTF-8"`)
- return Unauth("mod.auth_required", "Zugang erforderlich.")
- }
- return nil
- })(next)
-}
-
-// Moderationsseite: spiegelt die report-Tabelle als serverseitig gerenderte,
-// JS-freie HTML-Tabelle (offene Meldungen zuerst). Bewusst OHNE App-seitige
-// Auth -- der Zugriff wird ausschließlich vom vorgelagerten Reverse-Proxy
-// (Caddy: erzwingt TLS + Basic-Auth) geschützt. Die Route darf daher niemals
-// direkt, am Proxy vorbei, erreichbar sein.
-//
-// html/template escaped reason/content automatisch -> der attacker-kontrollierte
-// Meldegrund kann kein Markup einschleusen. Kein Inline-CSS/JS wegen der CSP;
-// das gemeinsame Stylesheet wird als externe (same-origin) Datei verlinkt.
-
-type reportRow struct {
- PID int64
- Reason string
- When string
- Handled bool
- Username string
- Content string
-}
-
-var moderationTmpl = template.Must(template.New("moderation").Parse(`
-
-
-
-
-
- Moderation · Meldungen
-
-
-
-
- Meldungen
- {{len .}} Meldung(en), offene zuerst.
-
-
- | Status | Zeit | Beitrag | Autor | Inhalt (Auszug) | Grund |
-
-
- {{range .}}
-
- | {{if .Handled}}erledigt{{else}}offen{{end}} |
- {{.When}} |
- {{.PID}} |
- {{if .Username}}{{.Username}}{{else}}[gelöscht/unbekannt]{{end}} |
- {{.Content}} |
- {{if .Reason}}{{.Reason}}{{else}}–{{end}} |
-
- {{else}}
- | Keine Meldungen. |
- {{end}}
-
-
-
-
-`))
-
-func handleModeration(w http.ResponseWriter, r *http.Request) error {
- // Offene Meldungen zuerst (handled ASC), innerhalb dessen die jüngsten oben.
- rows, err := db.Query(
- `SELECT r.pid, r.reason, r.created_at, r.handled,
- COALESCE(u.username, ''), COALESCE(e.content, '')
- FROM report r
- LEFT JOIN entry e ON e.pid = r.pid
- LEFT JOIN account u ON u.uid = e.uid
- ORDER BY r.handled ASC, r.created_at DESC`)
- if err != nil {
- return Internal(err)
- }
- defer rows.Close()
-
- reports := []reportRow{}
- for rows.Next() {
- var rr reportRow
- var created int64
- var handled int
- if err := rows.Scan(&rr.PID, &rr.Reason, &created, &handled, &rr.Username, &rr.Content); err != nil {
- return Internal(err)
- }
- rr.Handled = handled != 0
- rr.When = time.Unix(created, 0).UTC().Format("2006-01-02 15:04 UTC")
- // Inhalt nur als kurzer Auszug -- die Volansicht hängt am Beitrags-Link.
- // Runenweise kürzen, damit der Schnitt kein Multibyte-Zeichen zerreißt.
- if excerpt := truncateRunes(rr.Content, 120); excerpt != rr.Content {
- rr.Content = excerpt + "…"
- }
- reports = append(reports, rr)
- }
-
- // rows.Err() nach der Schleife: ein Fehler mitten im Iterieren würde sonst
- // als "einfach zu Ende" durchgehen und eine unvollständige Liste als
- // vollständige Moderationsansicht ausliefern.
- if err := rows.Err(); err != nil {
- return Internal(err)
- }
-
- w.Header().Set("Content-Type", "text/html; charset=utf-8")
- moderationTmpl.Execute(w, reports)
- return nil
-}
diff --git a/notes/api.md b/notes/api.md
index c279c2b..e053acc 100644
--- a/notes/api.md
+++ b/notes/api.md
@@ -1,228 +1,125 @@
-# kver API Definition
+# kver API
-Abgeleitet aus dem bestehenden Flask-Code. Basis für die Go-Reimplementierung.
+Alle Endpunkte liegen unter `/api` und antworten ausschließlich mit JSON.
+Außerhalb von `/api` liefert das Backend nur Seiten und Dateien des Frontends.
---
-## Authentifizierung
+## Konventionen
-Sessions werden als Cookie (`session`) übertragen. Alle geschützten Endpunkte erwarten diesen Cookie.
+**Erfolg oder Fehler steht im HTTP-Status.** `2xx` heißt Erfolg, alles andere
+Fehler. Einen `200` mit Fehler im Body gibt es nicht. Fehler haben immer diese
+Form:
+
+```json
+{ "error": { "code": "entry.not_found", "message": "Beitrag nicht gefunden",
+ "field": "content", "fields": { "user": "…" } } }
+```
+
+- `code`: stabil, maschinenlesbar (`.`), für Logik
+- `message`: deutsche Meldung für Menschen
+- `field` / `fields`: optional, betroffene Formularfelder (`fields` nur bei der
+ Registrierung, die alle Feldfehler auf einmal meldet)
+
+| Status | Bedeutung |
+|--------|-----------|
+| `400` | Eingabe ungültig |
+| `401` | nicht angemeldet / falsche Zugangsdaten |
+| `403` | angemeldet, aber nicht erlaubt (fremder Beitrag, falsches Passwort, TOR, fremder Origin) |
+| `404` | Objekt oder Endpunkt existiert nicht (`api.not_found`) |
+| `405` | Endpunkt existiert, aber nicht mit dieser Methode (`api.method_not_allowed`) |
+| `409` | Konflikt (Nutzername vergeben) |
+| `413` | Upload zu groß |
+| `429` | zu viele Anfragen (`rate.limited`) oder Repost-Cooldown |
+| `500` | Serverfehler (`internal`, Ursache nur im Log) |
+
+**Requests** sind `application/x-www-form-urlencoded` bzw. `multipart/form-data`
+(Uploads). Zeitstempel sind Unix-Sekunden.
+
+**Auth** läuft über das Cookie `session` (HttpOnly, SameSite=Lax). Geschützte
+Endpunkte antworten ohne gültige Session mit `401 auth.required`.
+
+**CSRF:** Nicht-GET-Requests mit fremdem `Origin`-Header werden mit
+`403 csrf.bad_origin` abgewiesen.
+
+**Rate-Limits** (pro IP): Login und Registrierung 20/min.
---
## Auth
-### `POST /auth/login`
+| Methode | Pfad | Auth | Request | Erfolg |
+|---------|------|------|---------|--------|
+| POST | `/api/auth/login` | – | `user`, `pass`, `timeout` (s, Default 1 Tag, max. 30 Tage) | `200 {"status":"ok"}` + Cookie; bereits angemeldet: `200 {"status":"already_logged_in"}` |
+| POST | `/api/auth/newuser` | – | `user` (3–32 Zeichen), `pass1` (min. 10), `pass2` | `201 {"username"}` |
+| POST | `/api/auth/logout` | – | – | `200 {"status":"ok"}`, löscht Cookie |
+| GET | `/api/auth/sessioninfo` | ✓ | – | `200 {"uid","created_at","expires","description"}`, ohne Session `401` |
-Einloggen.
-
-**Request (form-encoded):**
-| Feld | Typ | Beschreibung |
-|------|-----|--------------|
-| `user` | string | Nutzername |
-| `pass` | string | Passwort |
-| `timeout` | int | Session-Dauer in Sekunden |
-
-**Response:**
-- `200` + setzt `session`-Cookie → Redirect auf `/`
-- `200` + Fehlertext bei falschen Credentials
+Login-Fehler: `401 auth.bad_credentials` (gleich für unbekannten Nutzer und
+falsches Passwort).
---
-### `GET /auth/login`
+## Beiträge
-Login-Seite anzeigen (wird in der Go-API nicht benötigt, Frontend übernimmt das).
+Ein Beitrag (`Entry`):
----
-
-### `POST /auth/newuser`
-
-Neuen Account registrieren.
-
-**Request (form-encoded):**
-| Feld | Typ | Beschreibung |
-|------|-----|--------------|
-| `user` | string | Nutzername (3–32 Zeichen, `[a-zA-Z0-9._\s-]`) |
-| `pass1` | string | Passwort (min. 10 Zeichen) |
-| `pass2` | string | Passwort-Bestätigung |
-
-**Response:**
-- `200` bei Erfolg
-- `200` + Fehlerliste bei Validierungsfehler
-
----
-
-### `POST /auth/logout`
-
-Session beenden und Cookie löschen. POST statt GET: SameSite=Lax schützt
-GET-Navigationen nicht, ein fremder Link könnte Nutzer sonst ausloggen (CSRF).
-
-**Response:** `200` `{"status": "ok"}`
-
----
-
-### `GET /auth/headerbar`
-
-Gibt zurück ob der Nutzer eingeloggt ist (für die UI-Headerleiste).
-
-**Response:** HTML-Partial (in Go-API: JSON)
-
----
-
-### `GET /auth/sessioninfo`
-
-Infos zur aktuellen Session.
-
-**Auth:** erforderlich
-
-**Response:**
```json
-{
- "uid": 123456,
- "created_at": 1700000000,
- "expires": 1700086400,
- "description": ""
-}
+{ "pid": 123456789, "uid": 42, "created_at": 1700000000, "content": "…",
+ "filepath": "static/media/…", "reply_to": 0, "reply_count": 3,
+ "last_activity": 1700000500, "deleted": 0, "bump_count": 1,
+ "last_bump": 1700000400, "username": "max", "avatar": "static/media/…" }
```
----
+| Methode | Pfad | Auth | Request | Erfolg |
+|---------|------|------|---------|--------|
+| GET | `/api/entry/feed/{page}` | – | – | `200 [Entry]`: Threads nach letzter Aktivität, 20 pro Seite, Seite 0–100, `[]` am Ende |
+| GET | `/api/entry/{pid}/thread` | – | – | `200 {"entry", "ancestors": [Entry], "replies": [Entry]}` |
+| GET | `/api/entry/{pid}/votes` | – | – | `200 {"pid","left","right","selected"}` (`selected`: `left`/`right`/`none`) |
+| POST | `/api/entry/create` | ✓ | multipart: `content` (max. 1000), `file` (optional), `reply_to` (optional) | `201 {"pid","content","filepath","reply_to"}` |
+| POST | `/api/entry/{pid}/edit` | ✓ Autor | `content` | `200 {"pid","content"}` |
+| POST | `/api/entry/{pid}/delete` | ✓ Autor | – | `200 {"status":"deleted"}` (Soft-Delete, Thread bleibt) |
+| POST | `/api/entry/{pid}/vote` | ✓ | `mode` = `left`/`right` | `200` wie `votes`. Gleiche Stimme erneut zieht sie zurück |
+| POST | `/api/entry/{pid}/bump` | ✓ | – | `200 {"pid","bump_count","last_bump","last_activity","retry_after"}` |
-## Entries (Beiträge)
+Beim Bump wächst der Cooldown mit jedem Repost um einen Tag. Im Cooldown
+antwortet der Endpunkt mit `429 entry.bump_cooldown`. Dazu kommen der Header
+`Retry-After` und im Body `retry_after` und `bump_count` (neben `error`).
-### `GET /entry/feed/:page`
-
-Paginierter Feed aller Beiträge, neueste zuerst.
-
-**Parameter:**
-| Name | Typ | Beschreibung |
-|------|-----|--------------|
-| `page` | int | Seite (0–100), 20 Einträge pro Seite |
-
-**Response:**
-```json
-[
- {
- "pid": 123456789,
- "created_at": 1700000000,
- "uid": 42,
- "content": "...",
- "filepath": "static/media/...",
- "username": "max"
- }
-]
-```
-Leeres Array `[]` wenn keine weiteren Einträge vorhanden.
+TOR-Anfragen auf `create` werden mit `403 tor.blocked` abgewiesen.
---
-### `POST /entry/create`
+## Nutzer
-Neuen Beitrag erstellen.
-
-**Auth:** erforderlich
-
-**Request (multipart/form-data):**
-| Feld | Typ | Beschreibung |
-|------|-----|--------------|
-| `content` | string | Text (max. 1000 Zeichen) |
-| `file` | file (optional) | Bild (JPG oder GIF, wird auf max. 1024px skaliert) |
-
-Mindestens `content` oder `file` muss vorhanden sein.
-
-**Response:**
-- `201` bei Erfolg
-- `400` bei leerem Beitrag
-- `401` wenn nicht eingeloggt
+| Methode | Pfad | Auth | Request | Erfolg |
+|---------|------|------|---------|--------|
+| GET | `/api/u/{username}/info` | – | – | `200 {"uid","username","created_at","avatar"}` |
+| GET | `/api/u/{username}/feed/{page}` | – | – | `200 [Entry]`: alle Beiträge inkl. Antworten, chronologisch |
+| GET | `/api/user/info` | ✓ | – | `200 {"uid","username","created_at","last_login","avatar"}` |
+| POST | `/api/user/rename` | ✓ | `user` | `200 {"username"}`; vergeben: `409 user.name_taken` |
+| POST | `/api/user/avatar` | ✓ | multipart: `avatar` | `200 {"avatar"}` |
+| POST | `/api/user/delete` | ✓ | `pass1` | `200 {"status":"deleted"}`, löscht Konto, Beiträge, Votes, Sessions; falsches Passwort: `403 auth.bad_password` |
---
-### `GET /entry/:pid/votes`
+## Statistik
-Abstimmungsstand eines Beitrags lesen (read-only).
-
-**Response:**
-```json
-{ "pid": 123, "left": 4, "right": 2, "selected": "left" }
-```
-`selected` ist `none`, wenn nicht eingeloggt oder keine Stimme abgegeben.
+| Methode | Pfad | Erfolg |
+|---------|------|--------|
+| GET | `/api/stats` | `200 {"users","entries"}` |
+| GET | `/api/stats/detail` | `200 {"users","entries","toplevel","replies","votes":{"left","right"},"impressions_total","visitors_total","daily":[…],"top_asns":[…]}` |
---
-### `POST /entry/:pid/vote`
+## Seiten (kein JSON)
-Eigene Stimme abgeben oder umschalten.
-
-**Auth:** erforderlich
-
-**Request (form-encoded):**
-| Feld | Typ | Beschreibung |
-|------|-----|--------------|
-| `mode` | string | `left` oder `right` |
-
-**Voting-Logik:**
-- keine bisherige Stimme → neue Stimme
-- gleiche Stimme erneut → Stimme zurückziehen (Toggle)
-- andere Stimme → auf neuen Modus wechseln
-
-**Response:** wie `GET /entry/:pid/votes` (aktualisierter Stand)
-- `400` bei ungültigem Modus
-- `401` ohne Login
-
----
-
-## User
-
-### `GET /u/:username`
-
-Öffentliche Profilseite eines Nutzers.
-
-**Response:** Nutzerprofil + Beiträge (Details noch offen)
-
----
-
-### `GET /user/info`
-
-Eigene Account-Informationen.
-
-**Auth:** erforderlich
-
-**Response:**
-```json
-{
- "uid": 42,
- "username": "max",
- "created_at": 1700000000
-}
-```
-
----
-
-### `POST /user/delete`
-
-Eigenen Account dauerhaft löschen. Beiträge, Votes und Sessions werden
-mitgelöscht, zugehörige Mediendateien best effort entfernt.
-
-**Auth:** erforderlich
-
-**Request (form-encoded):**
-| Feld | Typ | Beschreibung |
-|------|-----|--------------|
-| `pass1` | string | Passwort zur Bestätigung |
-
-**Response:**
-- `200` `{"status": "deleted"}` + löscht den `session`-Cookie
-- `403` bei falschem Passwort
+`/`, `/e/{pid}`, `/u/{username}` liefern die HTML-Seiten des Frontends und
+zählen anonymisierte Impressions. `/static/*` enthält Uploads und Dokumente,
+alles andere kommt aus `web/`.
---
## Datenbankschema
Postgres; maßgeblich ist die Konstante `schema` in `db.go`.
-
----
-
-## Offene Punkte
-
-- Kein Rate-Limiting außer dem zufälligen `sleep` beim Login
-- `session`-Token ist nur `randbelow(999999999) + timestamp` — sollte auf `crypto/rand` umgestellt werden
-- Fehler-Responses sind aktuell Plaintext/HTML — in der Go-API einheitlich JSON
diff --git a/notes/deploy.md b/notes/deploy.md
index 0105c42..f55c19f 100644
--- a/notes/deploy.md
+++ b/notes/deploy.md
@@ -196,7 +196,7 @@ Volume=kver-media:/app/static/media
Environment=KVER_GEOIP_ASN=/app/data/GeoLite2-ASN.mmdb
# Healthcheck hier statt im Containerfile: Podman baut OCI-Images,
# die kennen kein eingebettetes HEALTHCHECK.
-HealthCmd=wget -qO /dev/null http://localhost:8080/entry/feed/0
+HealthCmd=wget -qO /dev/null http://localhost:8080/api/stats
HealthInterval=30s
[Service]
diff --git a/notes/todo.md b/notes/todo.md
index 3f4b869..ed71911 100644
--- a/notes/todo.md
+++ b/notes/todo.md
@@ -1,7 +1,6 @@
# TODO
-- Moderation: handled setzen
-- Moderation: Löschen aus Queue
+- Moderation (Melden, Queue, Abhilfe) als eigenständiges Projekt
- Passwort-Reset
- Suche
- Hashtags / Erwähnungen
diff --git a/stats.go b/stats.go
index dfffd3b..c96c20d 100644
--- a/stats.go
+++ b/stats.go
@@ -223,53 +223,73 @@ func recordImpression(path, anonIP, asn string) {
// handleStatsDetail liefert die Kennzahlen für die Statistik-Seite. Anders als
// /stats (Tagline, bei jedem Aufruf) darf das hier ruhig mehrere Aggregate
// rechnen. Öffentlich, kein Auth.
-func handleStatsDetail(w http.ResponseWriter, r *http.Request) {
+func handleStatsDetail(w http.ResponseWriter, r *http.Request) error {
var users, entries, toplevel, votesLeft, votesRight int64
- db.QueryRow(`SELECT COUNT(*) FROM account`).Scan(&users)
- db.QueryRow(`SELECT COUNT(*) FROM entry WHERE deleted = 0`).Scan(&entries)
- db.QueryRow(`SELECT COUNT(*) FROM entry WHERE deleted = 0 AND reply_to = 0`).Scan(&toplevel)
- db.QueryRow(`SELECT COUNT(*) FROM vote WHERE mode = 'left'`).Scan(&votesLeft)
- db.QueryRow(`SELECT COUNT(*) FROM vote WHERE mode = 'right'`).Scan(&votesRight)
+ if err := db.QueryRow(
+ `SELECT (SELECT COUNT(*) FROM account),
+ (SELECT COUNT(*) FROM entry WHERE deleted = 0),
+ (SELECT COUNT(*) FROM entry WHERE deleted = 0 AND reply_to = 0),
+ (SELECT COUNT(*) FROM vote WHERE mode = 'left'),
+ (SELECT COUNT(*) FROM vote WHERE mode = 'right')`).
+ Scan(&users, &entries, &toplevel, &votesLeft, &votesRight); err != nil {
+ return Internal(err)
+ }
var imprTotal, visitorsTotal int64
- db.QueryRow(`SELECT COALESCE(SUM(hits), 0)::bigint, COUNT(DISTINCT anon_ip) FROM impression`).
- Scan(&imprTotal, &visitorsTotal)
+ if err := db.QueryRow(`SELECT COALESCE(SUM(hits), 0)::bigint, COUNT(DISTINCT anon_ip) FROM impression`).
+ Scan(&imprTotal, &visitorsTotal); err != nil {
+ return Internal(err)
+ }
// Tägliche Impressions + grobe Unique-Netze, jüngste 30 Tage zuerst. Das
// Frontend dreht für die Achse auf aufsteigend.
daily := []map[string]any{}
- if rows, err := db.Query(
+ rows, err := db.Query(
`SELECT day, SUM(hits)::bigint, COUNT(DISTINCT anon_ip)
FROM impression
GROUP BY day
ORDER BY day DESC
- LIMIT 30`); err == nil {
- defer rows.Close()
- for rows.Next() {
- var day string
- var hits, visitors int64
- rows.Scan(&day, &hits, &visitors)
- daily = append(daily, map[string]any{"day": day, "impressions": hits, "visitors": visitors})
+ LIMIT 30`)
+ if err != nil {
+ return Internal(err)
+ }
+ defer rows.Close()
+ for rows.Next() {
+ var day string
+ var hits, visitors int64
+ if err := rows.Scan(&day, &hits, &visitors); err != nil {
+ return Internal(err)
}
+ daily = append(daily, map[string]any{"day": day, "impressions": hits, "visitors": visitors})
+ }
+ if err := rows.Err(); err != nil {
+ return Internal(err)
}
// Netze nach Betreiber (autonomes System). Leere asn ('') -> "(unbekannt)".
topASNs := []map[string]any{}
- if rows, err := db.Query(
+ rows, err = db.Query(
`SELECT CASE WHEN asn = '' THEN '(unbekannt)' ELSE asn END AS a,
SUM(hits)::bigint AS h,
COUNT(DISTINCT anon_ip)
FROM impression
GROUP BY a
ORDER BY h DESC
- LIMIT 10`); err == nil {
- defer rows.Close()
- for rows.Next() {
- var asn string
- var hits, networks int64
- rows.Scan(&asn, &hits, &networks)
- topASNs = append(topASNs, map[string]any{"asn": asn, "hits": hits, "networks": networks})
+ LIMIT 10`)
+ if err != nil {
+ return Internal(err)
+ }
+ defer rows.Close()
+ for rows.Next() {
+ var asn string
+ var hits, networks int64
+ if err := rows.Scan(&asn, &hits, &networks); err != nil {
+ return Internal(err)
}
+ topASNs = append(topASNs, map[string]any{"asn": asn, "hits": hits, "networks": networks})
+ }
+ if err := rows.Err(); err != nil {
+ return Internal(err)
}
writeJSON(w, http.StatusOK, map[string]any{
@@ -283,6 +303,7 @@ func handleStatsDetail(w http.ResponseWriter, r *http.Request) {
"daily": daily,
"top_asns": topASNs,
})
+ return nil
}
// serveIndex liefert die Startseite. Eigene Route (statt FileServer-Catch-All),
diff --git a/user.go b/user.go
index 193a258..dcaf5d7 100644
--- a/user.go
+++ b/user.go
@@ -89,14 +89,18 @@ func handleUserPage(w http.ResponseWriter, r *http.Request) error {
// handleStats liefert die Kennzahlen für die Statuszeile unter dem Titel:
// registrierte Nutzer und nicht-gelöschte Beiträge.
-func handleStats(w http.ResponseWriter, r *http.Request) {
+func handleStats(w http.ResponseWriter, r *http.Request) error {
var users, entries int64
- db.QueryRow(`SELECT COUNT(*) FROM account`).Scan(&users)
- db.QueryRow(`SELECT COUNT(*) FROM entry WHERE deleted = 0`).Scan(&entries)
+ if err := db.QueryRow(
+ `SELECT (SELECT COUNT(*) FROM account), (SELECT COUNT(*) FROM entry WHERE deleted = 0)`).
+ Scan(&users, &entries); err != nil {
+ return Internal(err)
+ }
writeJSON(w, http.StatusOK, map[string]any{
"users": users,
"entries": entries,
})
+ return nil
}
func handleUserInfo(w http.ResponseWriter, r *http.Request) error {
diff --git a/web/css/app.css b/web/css/app.css
index fe40f75..8f661cb 100644
--- a/web/css/app.css
+++ b/web/css/app.css
@@ -302,52 +302,6 @@ img.avatar-lg { width: 72px; height: 72px; }
.ghost.selected { font-weight: bold; }
.msg { color: red; }
-/* Melden sitzt rechtsbündig in der Meta-Zeile (weit weg von den Interaktionen).
- margin-left:auto schiebt es im Byline-Flex ganz nach rechts; position:relative
- verankert das aufklappende Grund-Feld. Der -Zweischritt (erst öffnen,
- dann absenden) verhindert versehentliche Meldungen. */
-details.report {
- margin-left: auto;
- position: relative;
- font-size: 0.9rem;
-}
-/* summary wie ein Button, aber zurückhaltend (grau), da Moderationshilfe. */
-details.report > summary {
- list-style: none;
- user-select: none;
- cursor: pointer;
- padding: 2px 8px;
- border: 1px solid #ccc;
- color: gray;
- background-color: white;
-}
-details.report > summary::-webkit-details-marker { display: none; }
-details.report > summary:hover { text-decoration: underline; }
-details.report[open] > summary { color: #a00; border-color: #a00; }
-details.report.reported > summary {
- color: green;
- border-color: green;
- cursor: default;
- text-decoration: none;
-}
-/* Aufgeklapptes Grund-Feld schwebt unter dem Button, damit die Meta-Zeile nicht
- springt. Über dem Inhalt (z-index) und rechtsbündig ausgerichtet. */
-.report-form {
- position: absolute;
- right: 0;
- z-index: 2;
- display: flex;
- flex-direction: column;
- align-items: flex-start;
- gap: 0.25rem;
- margin-top: 0.25rem;
- padding: 0.5rem;
- background-color: white;
- border: 1px solid #ccc;
- white-space: nowrap;
-}
-.report-form input { font-family: inherit; font-size: 0.9rem; }
-
p.warning {
background-color: #faa;
padding: 10px 15px;
diff --git a/web/js/app.js b/web/js/app.js
index c9ca587..45ba8ae 100644
--- a/web/js/app.js
+++ b/web/js/app.js
@@ -4,16 +4,15 @@
let loggedIn = false;
async function refreshHeader() {
- const h = await api.get("/auth/headerbar");
- loggedIn = !!h.loggedin;
+ const me = await api.get("/user/info");
+ loggedIn = me.ok;
document.getElementById("auth-box").hidden = loggedIn;
document.getElementById("compose").hidden = !loggedIn;
const bar = document.getElementById("headerbar");
if (loggedIn) {
- const me = await api.get("/user/info");
- const user = encodeURIComponent(me.username);
+ const user = encodeURIComponent(me.data.username);
bar.innerHTML = `mein Profil `;
document.getElementById("logout-btn").addEventListener("click", async () => {
// POST statt GET: als GET wäre Logout per fremdem Link auslösbar (CSRF).
diff --git a/web/js/entry.js b/web/js/entry.js
index e06cdeb..77f729d 100644
--- a/web/js/entry.js
+++ b/web/js/entry.js
@@ -23,13 +23,14 @@ replyForm.addEventListener("submit", async (e) => {
});
async function load() {
- const data = await api.get(`/entry/${pid}/thread`);
+ const res = await api.get(`/entry/${pid}/thread`);
const focus = document.getElementById("focus");
- if (data.error) {
- focus.textContent = "Beitrag nicht gefunden";
+ if (!res.ok) {
+ focus.textContent = errMsg(res.data, "Beitrag konnte nicht geladen werden.");
return;
}
+ const data = res.data;
// Ahnenkette (Root zuerst), dann der fokussierte Beitrag.
const ancestors = document.getElementById("ancestors");
@@ -40,7 +41,9 @@ async function load() {
focus.appendChild(renderEntry(data.entry));
// Eingeloggt? Reply-Box zeigen; eigener, nicht gelöschter Beitrag -> Bearbeiten/Löschen.
- const me = await api.get("/user/info");
+ // 401 heißt nicht angemeldet -> me bleibt leer.
+ const meRes = await api.get("/user/info");
+ const me = meRes.ok ? meRes.data : {};
document.getElementById("reply-box").hidden = !me.uid;
if (me.uid === data.entry.uid && !data.entry.deleted) {
const editBtn = document.createElement("button");
diff --git a/web/js/feed.js b/web/js/feed.js
index c84864f..c3db940 100644
--- a/web/js/feed.js
+++ b/web/js/feed.js
@@ -1,24 +1,28 @@
"use strict";
-// Die API antwortet ausschließlich mit JSON; der Accept-Header sagt das explizit.
+// Die API liegt unter /api und antwortet ausschließlich mit JSON. Ob ein Aufruf
+// geklappt hat, sagt der HTTP-Status (ok/status); data ist bei Fehlern das
+// Fehlerobjekt {"error": {...}}. Pfade werden ohne /api übergeben.
const JSON_HEADERS = { Accept: "application/json" };
+async function apiResult(r) {
+ return { ok: r.ok, status: r.status, data: await r.json().catch(() => ({})) };
+}
+
const api = {
- async get(url) {
- const r = await fetch(url, {
+ async get(path) {
+ return apiResult(await fetch(`/api${path}`, {
credentials: "same-origin",
headers: JSON_HEADERS,
- });
- return r.json();
+ }));
},
- async post(url, formData) {
- const r = await fetch(url, {
+ async post(path, formData) {
+ return apiResult(await fetch(`/api${path}`, {
method: "POST",
body: formData,
credentials: "same-origin",
headers: JSON_HEADERS,
- });
- return { ok: r.ok, status: r.status, data: await r.json().catch(() => ({})) };
+ }));
},
};
@@ -125,15 +129,6 @@ function renderEntry(e) {
@@ -154,7 +149,6 @@ function renderEntry(e) {
`;
setupVoting(el, e.pid);
setupBump(el, e);
- setupReport(el, e.pid);
el.addEventListener("click", (ev) => {
if (!ev.target.closest("a, button")) location.href = `/e/${e.pid}`;
});
@@ -166,11 +160,12 @@ function setupVoting(el, pid) {
const counts = box.querySelector("span");
const buttons = box.querySelectorAll(".ghost");
- function render(state) {
- if (state.error) {
- counts.textContent = errMsg(state, "Fehler");
+ function render(res) {
+ if (!res.ok) {
+ counts.textContent = errMsg(res.data, "Fehler");
return;
}
+ const state = res.data;
counts.textContent = `${state.left} / ${state.right}`;
buttons.forEach((b) =>
b.classList.toggle("selected", b.dataset.mode === state.selected)
@@ -181,8 +176,7 @@ function setupVoting(el, pid) {
b.addEventListener("click", async () => {
const fd = new FormData();
fd.append("mode", b.dataset.mode);
- const res = await api.post(`/entry/${pid}/vote`, fd);
- render(res.data);
+ render(await api.post(`/entry/${pid}/vote`, fd));
})
);
@@ -226,38 +220,6 @@ function setupBump(el, e) {
});
}
-// setupReport verdrahtet den Melden-Aufklapper. Der
-Zweischritt
-// (öffnen -> absenden) verhindert versehentliche Meldungen und hält das Grund-
-// Feld eingeklappt. Der Submit wird abgefangen, um Inline-Feedback zu geben
-// statt die Seite neu zu laden. stopPropagation, weil
-// die Karte sonst bei jedem Klick nach /e/{pid} navigieren würde.
-function setupReport(el, pid) {
- const details = el.querySelector("details.report");
- if (!details) return;
- details.addEventListener("click", (ev) => ev.stopPropagation());
-
- const form = details.querySelector(".report-form");
- const summary = details.querySelector("summary");
- form.addEventListener("submit", async (ev) => {
- ev.preventDefault();
- const res = await api.post(`/entry/${pid}/report`, new FormData(form));
- if (res.ok) {
- form.remove();
- details.open = false;
- details.classList.add("reported");
- summary.textContent = "Gemeldet – danke";
- return;
- }
- let msg = form.querySelector(".msg");
- if (!msg) {
- msg = document.createElement("span");
- msg.className = "msg";
- form.append(msg);
- }
- msg.textContent = errMsg(res.data, "Fehler beim Melden");
- });
-}
-
// createFeed hängt Infinite-Scroll an feedEl/sentinelEl und lädt Seiten über
// urlFor(page). Gibt { reset } zurück, um den Feed neu zu laden.
function createFeed(feedEl, sentinelEl, urlFor) {
@@ -269,7 +231,19 @@ function createFeed(feedEl, sentinelEl, urlFor) {
if (loading || done) return;
loading = true;
- const entries = await api.get(urlFor(page));
+ const res = await api.get(urlFor(page));
+ if (!res.ok) {
+ // Fehler nicht als "Ende" verbuchen: Meldung zeigen und weiteres
+ // Nachladen stoppen, statt in einer Schleife neu anzufragen.
+ done = true;
+ const err = document.createElement("p");
+ err.className = "msg";
+ err.textContent = errMsg(res.data, "Feed konnte nicht geladen werden.");
+ feedEl.appendChild(err);
+ loading = false;
+ return;
+ }
+ const entries = res.data;
if (!entries.length) {
done = true;
const end = document.createElement("p");
diff --git a/web/js/stats.js b/web/js/stats.js
index 69a8ba6..630b5a9 100644
--- a/web/js/stats.js
+++ b/web/js/stats.js
@@ -1,6 +1,6 @@
"use strict";
-// Statistik-Seite: holt die Aggregate von /stats/detail und rendert Zahlen +
+// Statistik-Seite: holt die Aggregate von /api/stats/detail und rendert Zahlen +
// einfache CSS-Balken (keine Chart-Library, CSP-konform). Balkenbreiten werden
// per CSSOM (el.style.width) gesetzt -> kein Inline-style-Attribut, daher von
// der strikten CSP nicht betroffen.
@@ -63,7 +63,15 @@ function renderBars(container, items, formatLabel) {
}
async function render() {
- const s = await api.get("/stats/detail");
+ const res = await api.get("/stats/detail");
+ if (!res.ok) {
+ const p = document.createElement("p");
+ p.className = "msg";
+ p.textContent = errMsg(res.data, "Statistik konnte nicht geladen werden.");
+ document.getElementById("stat-overview").append(p);
+ return;
+ }
+ const s = res.data;
// --- Auf einen Blick ---
const overview = document.getElementById("stat-overview");
diff --git a/web/js/user.js b/web/js/user.js
index 2103512..7fea2ec 100644
--- a/web/js/user.js
+++ b/web/js/user.js
@@ -41,11 +41,13 @@ document.getElementById("delete-form").addEventListener("submit", async (e) => {
});
async function init() {
- const info = await api.get(`/u/${encodeURIComponent(username)}/info`);
- if (info.error) {
- document.getElementById("profile-name").textContent = "Nutzer nicht gefunden";
+ const res = await api.get(`/u/${encodeURIComponent(username)}/info`);
+ if (!res.ok) {
+ document.getElementById("profile-name").textContent =
+ errMsg(res.data, "Profil konnte nicht geladen werden.");
return;
}
+ const info = res.data;
document.getElementById("profile-name").textContent = info.username;
document.getElementById("profile-avatar").src = avatarUrl(info.avatar);
@@ -54,7 +56,7 @@ async function init() {
// Eigene Seite? -> Einstellungen einblenden.
const me = await api.get("/user/info");
- const isOwner = me.username === info.username;
+ const isOwner = me.ok && me.data.username === info.username;
document.getElementById("settings").hidden = !isOwner;
createFeed(