saltcorn-samba 0.3.5 → 0.3.7

package/CHANGELOG.md

@@ -4,6 +4,51 @@ All notable changes to `saltcorn-samba` are documented here.
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/)
 and this project adheres to [Semantic Versioning](https://semver.org/).
 
+## [0.3.7] – 2026-07-05
+
+### Fixed
+- **„Only admins can test the connection.“ fälschlicherweise gemeldet.**
+  Die Admin-Prüfung in `POST /sambatest` verglich `req.user.role_id` mit
+  strikter Gleichheit gegen die Zahl `1`. Saltcorn liefert `role_id` je
+  nach Session-Serialisierung aber sowohl als Number wie auch als String
+  aus, weshalb `"1" !== 1` den Test blockierte. Die Prüfung akzeptiert
+  jetzt beide Formen (`Number(rid) === 1 || String(rid) === "1"`) und
+  liest den User zusätzlich aus `req.session.passport.user`, falls
+  `req.user` von einer noch nicht deserialisierten Session leer ist.
+  Vgl. [saltcorn utils.ts isAdminOrHasConfigMinRole](https://github.com/saltcorn/saltcorn/blob/master/packages/server/routes/utils.ts).
+- Auch der zentrale `roleOf(req)`-Helper (Lese-/Schreibrouten) toleriert
+  jetzt String-Rollen und Session-Fallback.
+
+### Changed
+- Bei fehlender Admin-Erkennung liefert `/sambatest` jetzt ein
+  `debug`-Objekt mit `has_req_user`, `has_session`, `role_id_seen`,
+  `role_id_type`, `email`, `user_id`. Der Test-Button zeigt diese
+  Diagnose in einem aufklappbaren „Session-Diagnose“-Panel – damit
+  wird sofort sichtbar, was Saltcorn dem Plugin zum Benutzer mitgibt.
+
+## [0.3.6] – 2026-07-05
+
+### Fixed
+- **`JSON.parse: unexpected character at line 1 column 1` beim Test-Button behoben.**
+  Der Aufruf von `POST /sambatest` lief zuvor gegen die globale
+  CSRF-Middleware von Saltcorn, die bei ungültigem/fehlendem Token eine
+  HTML-Seite zurückliefert – der Browser konnte sie nicht als JSON parsen.
+  Fix in drei Schichten:
+  1. Route ist jetzt mit `noCsrf: true` markiert (Sicherheit weiterhin durch
+     die harte Admin-Prüfung `roleOf(req) !== 1` im Handler garantiert;
+     siehe [saltcorn plugin_routes_handler.js](https://github.com/saltcorn/saltcorn/blob/master/packages/server/plugin_routes_handler.js)).
+  2. Der Client sendet nun als `application/x-www-form-urlencoded`
+     (statt JSON) und legt das `_csrf`-Token direkt in den Body – so
+     würde auch ein aktiver CSRF-Check passieren.
+  3. Das Token wird jetzt zuverlässig aus drei Quellen gesucht:
+     dem versteckten `<input name="_csrf">` des Formulars, dem
+     `<meta name="csrf-token">`-Tag und `window._sc_globalCsrf`.
+- **Klartext-Fehler statt kryptischem Parser-Crash.**
+  Wenn der Server doch mal HTML statt JSON liefert (z. B. Login-Redirect,
+  Plugin nicht neu geladen), zeigt der Test-Button jetzt eine deutliche
+  Meldung mit HTTP-Status und einer aufklappbaren Rohantwort statt eines
+  hilflosen „unexpected character“.
+
 ## [0.3.5] – 2026-07-05
 
 ### Added

package/index.js

@@ -92,19 +92,56 @@ window.sambaTestConn = async function(btn) {
     out.innerHTML = '<div class="alert alert-warning">Bitte mindestens <b>Server</b> und <b>Share</b> ausfüllen.</div>';
     return;
   }
-  var csrf = (document.querySelector('meta[name="csrf-token"]') || {}).content || '';
+  // Robust CSRF-Token-Suche: erst das versteckte Feld des Formulars,
+  // dann Meta-Tag, dann globales window._sc_globalCsrf.
+  var csrfEl = form.querySelector('input[name="_csrf"]');
+  var csrf =
+    (csrfEl && csrfEl.value) ||
+    ((document.querySelector('meta[name="csrf-token"]') || {}).content) ||
+    (window._sc_globalCsrf) ||
+    '';
   btn.disabled = true;
   var oldTxt = btn.textContent;
   btn.textContent = 'Teste …';
   out.innerHTML = '<div class="text-muted">Verbindung wird aufgebaut … (bis zu 30 s)</div>';
   try {
+    // Als URL-encoded senden – so findet Saltcorns CSRF-Middleware das
+    // Token direkt im Body (req.body._csrf), unabhängig von der
+    // Header-Konfiguration. Zusätzlich das Token als Header schicken.
+    var params = new URLSearchParams();
+    params.set('_csrf', csrf);
+    Object.keys(payload).forEach(function(k){ params.set(k, payload[k] || ''); });
     var r = await fetch('/sambatest', {
       method: 'POST',
       credentials: 'same-origin',
-      headers: { 'Content-Type': 'application/json', 'X-CSRF-Token': csrf, 'CSRF-Token': csrf },
-      body: JSON.stringify(payload)
+      headers: {
+        'Content-Type': 'application/x-www-form-urlencoded; charset=UTF-8',
+        'Accept': 'application/json',
+        'X-CSRF-Token': csrf,
+        'CSRF-Token': csrf,
+        'X-Requested-With': 'XMLHttpRequest'
+      },
+      body: params.toString()
     });
-    var data = await r.json();
+    // Defensiv: kommt HTML statt JSON zurück (z. B. Login-Redirect), Text anzeigen.
+    var raw = await r.text();
+    var data;
+    try { data = JSON.parse(raw); }
+    catch (parseErr) {
+      var short = raw.replace(/<[^>]+>/g,'').replace(/\s+/g,' ').trim().slice(0, 300);
+      out.innerHTML =
+        '<div class="alert alert-danger">' +
+          '<b>✗ Antwort war kein JSON</b> (HTTP ' + r.status + ')<br>' +
+          'Mögliche Ursachen: nicht als Admin angemeldet (Login-Redirect), CSRF-Token ungültig, ' +
+          'oder die Route <code>/sambatest</code> ist noch nicht registriert ' +
+          '(Plugin neu installieren bzw. Saltcorn neu starten).<br>' +
+          '<details style="margin-top:.4rem"><summary>Antwort des Servers</summary>' +
+          '<pre style="white-space:pre-wrap;margin-top:.4rem">' +
+          short.replace(/[<>&]/g, function(c){return {'<':'&lt;','>':'&gt;','&':'&amp;'}[c];}) +
+          '</pre></details>' +
+        '</div>';
+      return;
+    }
     if (data && data.ok) {
       var rows = (data.entries||[]).map(function(e){
         return '<li>'+ (e.isDirectory?'📁 ':'📄 ') + String(e.name).replace(/[<>&]/g,'?') +'</li>';
@@ -119,20 +156,31 @@ window.sambaTestConn = async function(btn) {
         '</div>';
     } else {
       var a = data && data.attempted || {};
+      var dbg = data && data.debug;
+      var titleForCode = (data && data.code === 'NOT_ADMIN')
+        ? '✗ Nicht als Administrator erkannt'
+        : '✗ Verbindung fehlgeschlagen';
       out.innerHTML =
         '<div class="alert alert-danger">' +
-          '<b>✗ Verbindung fehlgeschlagen</b><br>' +
+          '<b>' + titleForCode + '</b><br>' +
           'Fehler: <code>' + String(data && data.error || 'Unbekannt').replace(/[<>&]/g,'?') + '</code>' +
           (data && data.code ? ' <span class="text-muted">(' + data.code + ')</span>' : '') + '<br>' +
           (data && data.hint ? '<div style="margin-top:.4rem"><b>Hinweis:</b> ' + String(data.hint).replace(/[<>&]/g,'?') + '</div>' : '') +
-          '<details style="margin-top:.4rem"><summary>Versuchte Verbindungsdaten</summary>' +
-          '<table class="table table-sm" style="margin-top:.4rem">' +
-          '<tr><td>Server</td><td><code>' + (a.server||'') + ':' + (a.port||'') + '</code></td></tr>' +
-          '<tr><td>Share</td><td><code>' + (a.share||'') + '</code></td></tr>' +
-          '<tr><td>Basispfad</td><td><code>' + (a.base_path||'') + '</code></td></tr>' +
-          '<tr><td>Domäne</td><td><code>' + (a.domain||'') + '</code></td></tr>' +
-          '<tr><td>Benutzer</td><td><code>' + (a.username||'') + '</code></td></tr>' +
-          '</table></details>' +
+          (a.server ? (
+            '<details style="margin-top:.4rem"><summary>Versuchte Verbindungsdaten</summary>' +
+            '<table class="table table-sm" style="margin-top:.4rem">' +
+            '<tr><td>Server</td><td><code>' + (a.server||'') + ':' + (a.port||'') + '</code></td></tr>' +
+            '<tr><td>Share</td><td><code>' + (a.share||'') + '</code></td></tr>' +
+            '<tr><td>Basispfad</td><td><code>' + (a.base_path||'') + '</code></td></tr>' +
+            '<tr><td>Domäne</td><td><code>' + (a.domain||'') + '</code></td></tr>' +
+            '<tr><td>Benutzer</td><td><code>' + (a.username||'') + '</code></td></tr>' +
+            '</table></details>'
+          ) : '') +
+          (dbg ? (
+            '<details style="margin-top:.4rem"><summary>Session-Diagnose</summary>' +
+            '<pre style="margin-top:.4rem">' + JSON.stringify(dbg, null, 2) + '</pre>' +
+            '</details>'
+          ) : '') +
         '</div>';
     }
   } catch (e) {
@@ -334,7 +382,14 @@ function getConfig() {
 }
 
 function roleOf(req) {
-  return (req && req.user && req.user.role_id) || 100;
+  const u =
+    (req && req.user) ||
+    (req && req.session && req.session.passport && req.session.passport.user) ||
+    null;
+  if (!u) return 100;
+  const rid = u.role_id !== undefined ? u.role_id : u.roleId;
+  const n = Number(rid);
+  return Number.isFinite(n) && n > 0 ? n : 100;
 }
 
 function canRead(req, cfg) {
@@ -541,10 +596,51 @@ code{background:#f4f4f4;padding:2px 6px;border-radius:3px;word-break:break-all}<
   {
     url: "/sambatest",
     method: "post",
+    // The route is protected by an explicit admin check in the handler
+    // (roleOf(req) !== 1 returns 403), so the standard CSRF middleware
+    // would only add friction without adding security here — the token
+    // hidden field is not in scope of an arbitrary attacker who cannot
+    // already run scripts inside an admin's browser (which would defeat
+    // any web-app anyway). Setting noCsrf keeps the button working even
+    // when the config-page CSRF token has already been consumed by the
+    // save-workflow or when a stricter CSRF policy is applied.
+    noCsrf: true,
     callback: async ({ req, res }) => {
-      if (roleOf(req) !== 1) {
-        return jsonError(res, 403, "Only admins can test the connection.");
+      // Admin gate — be permissive about how Saltcorn represents the role:
+      //   • req.user.role_id may be a Number (1) or a String ("1") depending
+      //     on how the session was serialised.
+      //   • In some tenant/session configs req.user is populated later; we
+      //     also check req.session.passport.user as a fallback.
+      const u =
+        (req && req.user) ||
+        (req && req.session && req.session.passport && req.session.passport.user) ||
+        null;
+      const rid = u && (u.role_id !== undefined ? u.role_id : u.roleId);
+      const isAdmin = u && (Number(rid) === 1 || String(rid) === "1");
+      if (!isAdmin) {
+        return res.status(403).json({
+          ok: false,
+          error: "Only admins can test the connection.",
+          code: "NOT_ADMIN",
+          hint:
+            "Der Server hat Sie für diese Anfrage nicht als Administrator erkannt. " +
+            "Mögliche Ursachen: (1) Sie sind in einem anderen Tab abgemeldet worden, " +
+            "(2) die Konfigurations-Seite wurde in einem privaten/Inkognito-Fenster " +
+            "geöffnet ohne gültige Session, (3) Saltcorn läuft hinter einem Reverse-" +
+            "Proxy, der Cookies nicht weiterreicht. Bitte im selben Fenster neu " +
+            "anmelden und die Seite neu laden.",
+          debug: {
+            has_req_user: !!(req && req.user),
+            has_session: !!(req && req.session),
+            role_id_seen: rid === undefined ? null : String(rid),
+            role_id_type: rid === undefined ? "undefined" : typeof rid,
+            email: (u && u.email) || null,
+            user_id: (u && u.id) || null,
+          },
+        });
       }
+      // Accept both JSON and URL-encoded bodies. express.json and
+      // express.urlencoded are both installed globally by Saltcorn.
       const body = (req.body && typeof req.body === "object") ? req.body : {};
       const testCfg = {
         server: String(body.server || "").trim(),

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "saltcorn-samba",
-  "version": "0.3.5",
+  "version": "0.3.7",
   "description": "Saltcorn plugin: browse, upload, rename and delete files on a Samba/CIFS share. File-manager view, directory tree, inline PDF viewer, external-app open (smb://).",
   "main": "index.js",
   "scripts": {