Mit APP_PASSWORD gesetzt schlaegt jedes <img src="preview?path=..."> mit HTTP 401 fehl, weil der Browser bei <img>-Requests keinen Authorization-Header sendet. Betrifft:
Tinder-Modus Hauptbild (tinder-img)
Review-Liste Thumbnails (makeThumb)
Lightbox (Vollbild-Anzeige)
Favoriten-Vorschau
Fix
_extract_token(request) akzeptiert Token jetzt aus Authorization-Header oder?_t=-Query-Param. Frontend nutzt neuen Helper imgUrl(endpoint, path, extra), der den aktuellen Token automatisch anhaengt.
Security-Erwaegung: Token im URL-Query taucht im Browser-History und Referer auf. Referer-Leak wird durch Referrer-Policy: strict-origin-when-cross-origin (Issue #17) abgemildert, der Token bleibt im Browser-Tab. Bei Single-User-Mode und sessionStorage-Speicherung ohnehin ein vergleichbares Risikoprofil wie der Bearer-Token selbst.
Test
GET /preview?path=...&_t=GUELTIG -> 200
GET /preview?path=... (kein Token) -> 401
GET /preview?path=...&_t=falsch -> 401
## Problem (vorbestehend, beim E2E-Test entdeckt)
Mit `APP_PASSWORD` gesetzt schlaegt jedes `<img src="preview?path=...">` mit HTTP 401 fehl, weil der Browser bei `<img>`-Requests keinen `Authorization`-Header sendet. Betrifft:
- Tinder-Modus Hauptbild (`tinder-img`)
- Review-Liste Thumbnails (`makeThumb`)
- Lightbox (Vollbild-Anzeige)
- Favoriten-Vorschau
## Fix
`_extract_token(request)` akzeptiert Token jetzt aus Authorization-Header **oder** `?_t=`-Query-Param. Frontend nutzt neuen Helper `imgUrl(endpoint, path, extra)`, der den aktuellen Token automatisch anhaengt.
Security-Erwaegung: Token im URL-Query taucht im Browser-History und Referer auf. Referer-Leak wird durch `Referrer-Policy: strict-origin-when-cross-origin` (Issue #17) abgemildert, der Token bleibt im Browser-Tab. Bei Single-User-Mode und sessionStorage-Speicherung ohnehin ein vergleichbares Risikoprofil wie der Bearer-Token selbst.
## Test
- `GET /preview?path=...&_t=GUELTIG` -> 200
- `GET /preview?path=...` (kein Token) -> 401
- `GET /preview?path=...&_t=falsch` -> 401
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Problem (vorbestehend, beim E2E-Test entdeckt)
Mit
APP_PASSWORDgesetzt schlaegt jedes<img src="preview?path=...">mit HTTP 401 fehl, weil der Browser bei<img>-Requests keinenAuthorization-Header sendet. Betrifft:tinder-img)makeThumb)Fix
_extract_token(request)akzeptiert Token jetzt aus Authorization-Header oder?_t=-Query-Param. Frontend nutzt neuen HelperimgUrl(endpoint, path, extra), der den aktuellen Token automatisch anhaengt.Security-Erwaegung: Token im URL-Query taucht im Browser-History und Referer auf. Referer-Leak wird durch
Referrer-Policy: strict-origin-when-cross-origin(Issue #17) abgemildert, der Token bleibt im Browser-Tab. Bei Single-User-Mode und sessionStorage-Speicherung ohnehin ein vergleichbares Risikoprofil wie der Bearer-Token selbst.Test
GET /preview?path=...&_t=GUELTIG-> 200GET /preview?path=...(kein Token) -> 401GET /preview?path=...&_t=falsch-> 401Fix umgesetzt, siehe Issue-Body. Backend-Smoketest:
/thumbmit Query-Token -> 200