Ein Konto, das niemand sonst anfassen kann

Neu

• Ein Konto, das kein anderer hinauswerfen kann. Bisher waren alle Administratoren gleich. Wer einen zweiten ernannte, gab ihm damit auch die Macht, den ersten zu entfernen: abschalten, herabstufen, oder schlicht ein neues Passwort setzen und er sein. Genau ein Konto trägt jetzt unter Einstellungen → Benutzer das Abzeichen Betreiber. Es gibt seinem Inhaber nichts, keine größeren Kontingente und keine Macht über andere. Es sagt nur, was andere mit diesem Konto nicht dürfen, und die Knöpfe, die es getan hätten, sind ausgegraut mit einem Satz daneben, warum. Weitergeben kann nur der Betreiber selbst, unter Profil → Sicherheit, und nur an einen aktiven Administrator. Einen Weg zurück gibt es nicht, und die Rückfrage sagt das auch. Sperrst du dich selbst aus, holt NEXVIEW_BETREIBER=<benutzername> beim Start das Abzeichen zurück.
• Hausordnung: dein Regeltext, wenn du einen willst. Was angefragt werden darf, wie lange Titel bleiben, wen man bei einer Störung anschreibt. Bisher lebte das in einer Nachricht, die du einmal geschrieben hast und die keiner wiederfindet. Jetzt schreibst du es unter Einstellungen → Hausordnung auf, mit Werkzeugleiste, Bildern und der fertigen Seite live daneben. Alle anderen erreichen sie über einen **§-Knopf unten rechts**, mit einem Punkt darauf, solange sie die aktuelle Fassung nicht gelesen haben. Musst du nicht: Lässt du das Feld leer, gibt es auch keinen Knopf.

Behoben

Die Anmeldung über einen fremden Anbieter hat einen vollständigen Durchgang bekommen. Wer authentik, Keycloak, Authelia, Zitadel oder Pocket ID betreibt, sollte diese Fassung nehmen.

• Zwei Sorten Anbieter kamen überhaupt nie herein. Unterschriften mit ES512 und Ed25519 wurden abgewiesen, und Pocket ID lässt beides einstellen. Und eine unterschriebene userinfo-Antwort, die Authelia und Zitadel liefern können, wurde still weggeworfen. Beide Gruppen bekamen bei jedem Versuch „Der Ausweis des Anbieters ließ sich nicht prüfen", und im Protokoll stand nichts, was zur Ursache geführt hätte. Beides geht jetzt.
• Ein Fremder konnte alle aussperren. Die Anmeldebremse zählte pro Anbieter statt pro Person. Zehn gescheiterte Rückwege aus irgendeinem Browser, ohne Konto und ohne Passwort, und niemand kam eine Viertelstunde lang mehr über diesen Anbieter herein, beliebig oft wiederholbar. Dasselbe passierte ohne Angreifer nach einem falsch abgetippten Client-Geheimnis.
• Der Aussperr-Riegel hatte drei Seitentüren. Einen Anbieter zu löschen wird abgelehnt, wenn Konten dadurch ihren einzigen Weg hinein verlieren. Ihn abzuschalten, seine Adresse zu ändern oder seine Zugangsdaten auszutauschen richtete denselben Schaden an und ging glatt durch. Und eine Verknüpfung zu einem inzwischen gelöschten oder abgeschalteten Anbieter zählte als Weg hinein, womit der Riegel für die betroffenen Konten ganz ausfiel.
• Drei weitere Löcher, alle zu: Das Anmelde-Cookie trug kein Secure, und NEXVIEW_COOKIE_SECURE erreichte es nie. Eine Bestätigung aus userinfo konnte für eine andere Adresse bürgen als die, um die es ging. Und ein Ausweis, den der Anbieter für eine fremde Anwendung ausgestellt hatte, wurde angenommen, weil azp ungeprüft blieb.
• Eine abgewiesene Anmeldung sagt jetzt, warum. Vorher sagte sie gar nichts. Der Mensch bekam eine absichtlich wortkarge Meldung, und im Protokoll stand keine Zeile. Ein Betreiber, dessen Anbieter email_verified: false meldet, und das ist bei authentik, Keycloak und Pocket ID die Werkseinstellung, hatte damit keinen einzigen Anhaltspunkt. Jede Abweisung nennt jetzt den Grund, den Aussteller, ob eine Adresse ankam und ob es ein Konto dazu gibt. Adressen stehen dabei gekürzt.
• Ein Anbieter lässt sich in der Oberfläche korrigieren. Bisher ließ sich ein vertipptes Client-Geheimnis nur beheben, indem man den Anbieter löschte und neu anlegte. Kinderwünsche und Anfragen
• Der Wunsch eines Kindes ließ sich erst ablehnen, wenn der Film längst da war, also ausgerechnet mit der Antwort, die dem Kind das Gegenteil der Wahrheit sagt. So ein Wunsch wird jetzt als erfüllt geschlossen. Wünsche, deren Film über die Anfrage eines anderen ankam, bleiben nicht mehr für immer offen, und das Löschen eines Kinderkontos lässt seine Wünsche nicht mehr zurück.
• Einen Film freizugeben, den Radarr schon hatte, scheiterte endgültig, eine gescheiterte Anfrage hatte gar keinen Knopf mehr, und zwei Meldungen kamen auf Deutsch an, ganz gleich welche Sprache eingestellt war.

Geändert

• Die Freigabeliste sagt, von welchem Kind eine Anfrage kommt.
• „Sucht seit über 14 Tagen" meldet keine Filme mehr, die noch gar nicht erschienen sind.
• Der Hinweis „Testphase" über den Speicher-Kontingenten ist weg.

Unter der Haube

• Der erste Besuch ist 47 kB leichter.
• Die README beschreibt jetzt die email_verified-Falle, Authelia und Zitadel, was Nexview aus einem Ausweis liest, und dass Gruppen absichtlich ignoriert werden.