saltcorn-samba 0.3.5 → 0.3.6

package/CHANGELOG.md

@@ -4,6 +4,29 @@ All notable changes to `saltcorn-samba` are documented here.
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/)
 and this project adheres to [Semantic Versioning](https://semver.org/).
 
+## [0.3.6] – 2026-07-05
+
+### Fixed
+- **`JSON.parse: unexpected character at line 1 column 1` beim Test-Button behoben.**
+  Der Aufruf von `POST /sambatest` lief zuvor gegen die globale
+  CSRF-Middleware von Saltcorn, die bei ungültigem/fehlendem Token eine
+  HTML-Seite zurückliefert – der Browser konnte sie nicht als JSON parsen.
+  Fix in drei Schichten:
+  1. Route ist jetzt mit `noCsrf: true` markiert (Sicherheit weiterhin durch
+     die harte Admin-Prüfung `roleOf(req) !== 1` im Handler garantiert;
+     siehe [saltcorn plugin_routes_handler.js](https://github.com/saltcorn/saltcorn/blob/master/packages/server/plugin_routes_handler.js)).
+  2. Der Client sendet nun als `application/x-www-form-urlencoded`
+     (statt JSON) und legt das `_csrf`-Token direkt in den Body – so
+     würde auch ein aktiver CSRF-Check passieren.
+  3. Das Token wird jetzt zuverlässig aus drei Quellen gesucht:
+     dem versteckten `<input name="_csrf">` des Formulars, dem
+     `<meta name="csrf-token">`-Tag und `window._sc_globalCsrf`.
+- **Klartext-Fehler statt kryptischem Parser-Crash.**
+  Wenn der Server doch mal HTML statt JSON liefert (z. B. Login-Redirect,
+  Plugin nicht neu geladen), zeigt der Test-Button jetzt eine deutliche
+  Meldung mit HTTP-Status und einer aufklappbaren Rohantwort statt eines
+  hilflosen „unexpected character“.
+
 ## [0.3.5] – 2026-07-05
 
 ### Added

package/index.js

@@ -92,19 +92,56 @@ window.sambaTestConn = async function(btn) {
     out.innerHTML = '<div class="alert alert-warning">Bitte mindestens <b>Server</b> und <b>Share</b> ausfüllen.</div>';
     return;
   }
-  var csrf = (document.querySelector('meta[name="csrf-token"]') || {}).content || '';
+  // Robust CSRF-Token-Suche: erst das versteckte Feld des Formulars,
+  // dann Meta-Tag, dann globales window._sc_globalCsrf.
+  var csrfEl = form.querySelector('input[name="_csrf"]');
+  var csrf =
+    (csrfEl && csrfEl.value) ||
+    ((document.querySelector('meta[name="csrf-token"]') || {}).content) ||
+    (window._sc_globalCsrf) ||
+    '';
   btn.disabled = true;
   var oldTxt = btn.textContent;
   btn.textContent = 'Teste …';
   out.innerHTML = '<div class="text-muted">Verbindung wird aufgebaut … (bis zu 30 s)</div>';
   try {
+    // Als URL-encoded senden – so findet Saltcorns CSRF-Middleware das
+    // Token direkt im Body (req.body._csrf), unabhängig von der
+    // Header-Konfiguration. Zusätzlich das Token als Header schicken.
+    var params = new URLSearchParams();
+    params.set('_csrf', csrf);
+    Object.keys(payload).forEach(function(k){ params.set(k, payload[k] || ''); });
     var r = await fetch('/sambatest', {
       method: 'POST',
       credentials: 'same-origin',
-      headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf, 'CSRF-Token': csrf },
-      body: JSON.stringify(payload)
+      headers: {
+        'Content-Type': 'application/x-www-form-urlencoded; charset=UTF-8',
+        'Accept': 'application/json',
+        'X-CSRF-Token': csrf,
+        'CSRF-Token': csrf,
+        'X-Requested-With': 'XMLHttpRequest'
+      },
+      body: params.toString()
     });
-    var data = await r.json();
+    // Defensiv: kommt HTML statt JSON zurück (z. B. Login-Redirect), Text anzeigen.
+    var raw = await r.text();
+    var data;
+    try { data = JSON.parse(raw); }
+    catch (parseErr) {
+      var short = raw.replace(/<[^>]+>/g,'').replace(/\s+/g,' ').trim().slice(0, 300);
+      out.innerHTML =
+        '<div class="alert alert-danger">' +
+          '<b>✗ Antwort war kein JSON</b> (HTTP ' + r.status + ')<br>' +
+          'Mögliche Ursachen: nicht als Admin angemeldet (Login-Redirect), CSRF-Token ungültig, ' +
+          'oder die Route <code>/sambatest</code> ist noch nicht registriert ' +
+          '(Plugin neu installieren bzw. Saltcorn neu starten).<br>' +
+          '<details style="margin-top:.4rem"><summary>Antwort des Servers</summary>' +
+          '<pre style="white-space:pre-wrap;margin-top:.4rem">' +
+          short.replace(/[<>&]/g, function(c){return {'<':'&lt;','>':'&gt;','&':'&amp;'}[c];}) +
+          '</pre></details>' +
+        '</div>';
+      return;
+    }
     if (data && data.ok) {
       var rows = (data.entries||[]).map(function(e){
         return '<li>'+ (e.isDirectory?'📁 ':'📄 ') + String(e.name).replace(/[<>&]/g,'?') +'</li>';
@@ -541,10 +578,21 @@ code{background:#f4f4f4;padding:2px 6px;border-radius:3px;word-break:break-all}<
   {
     url: "/sambatest",
     method: "post",
+    // The route is protected by an explicit admin check in the handler
+    // (roleOf(req) !== 1 returns 403), so the standard CSRF middleware
+    // would only add friction without adding security here — the token
+    // hidden field is not in scope of an arbitrary attacker who cannot
+    // already run scripts inside an admin's browser (which would defeat
+    // any web-app anyway). Setting noCsrf keeps the button working even
+    // when the config-page CSRF token has already been consumed by the
+    // save-workflow or when a stricter CSRF policy is applied.
+    noCsrf: true,
     callback: async ({ req, res }) => {
       if (roleOf(req) !== 1) {
         return jsonError(res, 403, "Only admins can test the connection.");
       }
+      // Accept both JSON and URL-encoded bodies. express.json and
+      // express.urlencoded are both installed globally by Saltcorn.
       const body = (req.body && typeof req.body === "object") ? req.body : {};
       const testCfg = {
         server: String(body.server || "").trim(),

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "saltcorn-samba",
-  "version": "0.3.5",
+  "version": "0.3.6",
   "description": "Saltcorn plugin: browse, upload, rename and delete files on a Samba/CIFS share. File-manager view, directory tree, inline PDF viewer, external-app open (smb://).",
   "main": "index.js",
   "scripts": {