astroklient: własna nazwa produktu zamiast odziedziczonej po rdzeniu #85

Merged

gitea merged 1 commits from fix/nazwa-produktu into master 2026-08-27 15:08:36 +00:00

Conversation 0 Commits 1 Files Changed 17

+149 -74

gitea commented 2026-08-27 14:37:04 +00:00

Owner

Copy Link

Copy Source

Astroklient przedstawiał się na stronie głównej jako „astrololo" — w tytule karty i w nagłówku.

To najpoważniejszy z możliwych śladów. Mówi klientowi wprost, że trzyma okrojoną wersję czegoś większego, i podaje frazę, po której da się wyszukać, czego mu nie dano. Cała reszta izolacji przestaje mieć znaczenie, gdy produkt sam się przedstawia nazwą rodzica.

astrodemo nie było dotknięte — ma własne kopie szablonów i pokazuje „astrodemo". Sprawdziłem, bo pytałeś.

Skąd się wzięło

Nazwa była wpisana na sztywno w szablony, a szablony są wspólne — dokładnie ta sama przyczyna, co przy zaszytym w base.html warunku na administratora. Mieszka teraz w module produkt.py, który nakładka produktu nadpisuje; szablony o nią pytają, zamiast ją znać.

Drugie źródło, mniej oczywiste

Nazwa siedziała też w identyfikatorach JavaScriptu, które widzi każdy, kto otworzy narzędzia deweloperskie:

• zdarzenie astrololo:coords
• klucz astrololo.form.v1 w localStorage

Przemianowane na neutralne kosmogram:*. Te identyfikatory nie mają powodu nosić nazwy rodziny produktów.

⚠️ Skutek uboczny: zmiana klucza w localStorage kasuje raz zapamiętane wersje robocze formularza. Jednorazowo, u wszystkich.

Sprawdzone, że NIE wyciekają

trop	werdykt
nagłówki X-Astrololo-*	jadą wyłącznie między warstwami, nie do przeglądarki
tytuł aplikacji FastAPI	/docs, /openapi.json, /redoc → 404, także zalogowanemu
nazwy loggerów, HKDF, content-type	wewnętrzne, nie docierają do klienta

Test rozdziela dwie rzeczy

Nazwie rdzenia wolno występować w identyfikatorach wewnętrznych (loggery, materiał do wyprowadzania kluczy, nagłówki międzywarstwowe) i nie wolno w szablonach, zasobach ani w treści odpowiedzi.

Zakaz na wszystko byłby albo obejściem przez zmianę nazw kluczy kryptograficznych, albo martwą regułą wyłączaną przy pierwszej okazji.

Sprawdzony w obie strony: po cofnięciu nakładki test pada.

Testy: astroklient 15 · presentation 368 · astrodemo 28 · logic 342 · data 42 · render 41.

Astroklient przedstawiał się na stronie głównej jako **„astrololo"** — w tytule karty i w nagłówku. To najpoważniejszy z możliwych śladów. Mówi klientowi wprost, że trzyma okrojoną wersję czegoś większego, i podaje frazę, po której da się wyszukać, czego mu nie dano. Cała reszta izolacji przestaje mieć znaczenie, gdy produkt sam się przedstawia nazwą rodzica. **astrodemo nie było dotknięte** — ma własne kopie szablonów i pokazuje „astrodemo". Sprawdziłem, bo pytałeś. ## Skąd się wzięło Nazwa była wpisana na sztywno w szablony, a szablony są **wspólne** — dokładnie ta sama przyczyna, co przy zaszytym w `base.html` warunku na administratora. Mieszka teraz w module `produkt.py`, który nakładka produktu nadpisuje; szablony o nią pytają, zamiast ją znać. ## Drugie źródło, mniej oczywiste Nazwa siedziała też w **identyfikatorach JavaScriptu**, które widzi każdy, kto otworzy narzędzia deweloperskie: - zdarzenie `astrololo:coords` - klucz `astrololo.form.v1` w `localStorage` Przemianowane na neutralne `kosmogram:*`. Te identyfikatory nie mają powodu nosić nazwy rodziny produktów. ⚠️ **Skutek uboczny:** zmiana klucza w `localStorage` kasuje raz zapamiętane wersje robocze formularza. Jednorazowo, u wszystkich. ## Sprawdzone, że NIE wyciekają | trop | werdykt | |---|---| | nagłówki `X-Astrololo-*` | jadą wyłącznie między warstwami, nie do przeglądarki | | tytuł aplikacji FastAPI | `/docs`, `/openapi.json`, `/redoc` → **404**, także zalogowanemu | | nazwy loggerów, HKDF, content-type | wewnętrzne, nie docierają do klienta | ## Test rozdziela dwie rzeczy Nazwie rdzenia **wolno** występować w identyfikatorach wewnętrznych (loggery, materiał do wyprowadzania kluczy, nagłówki międzywarstwowe) i **nie wolno** w szablonach, zasobach ani w treści odpowiedzi. Zakaz na wszystko byłby albo obejściem przez zmianę nazw kluczy kryptograficznych, albo martwą regułą wyłączaną przy pierwszej okazji. Sprawdzony w obie strony: po cofnięciu nakładki test pada. **Testy:** astroklient 15 · presentation 368 · astrodemo 28 · logic 342 · data 42 · render 41.

gitea added 1 commit 2026-08-27 14:37:04 +00:00

astroklient: własna nazwa produktu zamiast odziedziczonej po rdzeniu ... 338ec24e90

Astroklient przedstawiał się na stronie głównej jako „astrololo" — w tytule
karty i w nagłówku. To najpoważniejszy z możliwych śladów: mówi klientowi
wprost, że trzyma okrojoną wersję czegoś większego, i podaje frazę, po której da
się wyszukać, czego mu nie dano. Cała reszta izolacji przestaje mieć znaczenie,
gdy produkt sam się przedstawia nazwą rodzica.

Wzięło się stąd, że nazwa była wpisana na sztywno w szablony, a szablony są
WSPÓLNE — dokładnie ta sama przyczyna, co przy zaszytym w base.html warunku na
administratora. Nazwa mieszka teraz w module `produkt.py`, który nakładka
produktu nadpisuje; szablony o nią pytają, zamiast ją znać.

astrodemo NIE było dotknięte: ma własne kopie szablonów i pokazuje „astrodemo".

DRUGIE ŹRÓDŁO WYCIEKU, mniej oczywiste: nazwa siedziała też w identyfikatorach
JavaScriptu, które widzi każdy, kto otworzy narzędzia deweloperskie — zdarzenie
`astrololo:coords` i klucz `astrololo.form.v1` w localStorage. Przemianowane na
neutralne `kosmogram:*`; te identyfikatory nie mają powodu nosić nazwy rodziny
produktów. SKUTEK UBOCZNY: zmiana klucza w localStorage kasuje raz zapamiętane
wersje robocze formularza.

Sprawdzone, że NIE wyciekają: nagłówki X-Astrololo-* jadą wyłącznie między
warstwami, a dokumentacja OpenAPI (gdzie zostaje tytuł aplikacji FastAPI) oddaje
404 także zalogowanemu.

TEST rozdziela to, co widzi człowiek, od identyfikatorów wewnętrznych. Nazwa
rdzenia wolno występować w nazwach loggerów, materiale do wyprowadzania kluczy
i nagłówkach międzywarstwowych; nie wolno w szablonach, zasobach ani w treści
odpowiedzi. Zakaz na wszystko byłby albo obejściem przez zmianę nazw kluczy
kryptograficznych, albo martwą regułą wyłączaną przy pierwszej okazji.

Sprawdzony w obie strony: po cofnięciu nakładki test pada.

Testy: astroklient 15, presentation 368, astrodemo 28, logic 342, data 42,
render 41.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

gitea merged commit 338ec24e90 into master 2026-08-27 15:08:36 +00:00

gitea deleted branch fix/nazwa-produktu 2026-08-27 15:08:36 +00:00

Sign in to join this conversation.

Reviewers

No Reviewers

Labels

No items

No Label

Milestone

No items

No Milestone

Projects

Clear projects

No project

Assignees

Clear assignees

gitea

No Assignees

1 Participants

Notifications

Subscribe

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: gitea/astrololo#85