saltcorn-samba 0.3.7 → 0.3.9

package/CHANGELOG.md

@@ -4,6 +4,98 @@ All notable changes to `saltcorn-samba` are documented here.
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/)
 and this project adheres to [Semantic Versioning](https://semver.org/).
 
+## [0.3.9] – 2026-07-05
+
+### Fixed – **Root-Cause-Fix: Falsche Callback-Signatur in allen Routen**
+
+Die Diagnose-Ausgabe aus 0.3.8 hat gezeigt, dass in den Route-Handlern
+**alle** Felder von `req` leer waren (`has_req_user: false`,
+`has_session: false`, `referer: null` usw.). Ursache war eine falsche
+Callback-Signatur, die seit 0.1 in **allen 8 Routen** verwendet wurde.
+
+Saltcorn registriert Plugin-Routen so
+(`packages/server/plugin_routes_handler.js`, Zeilen 40–52):
+
+```js
+tenantRouter.post(url, error_catcher(route.callback));
+```
+
+und `error_catcher` ist definiert als
+(`packages/server/routes/utils.ts`, Zeile 427):
+
+```js
+const error_catcher = (fn) => (request, response, next) => {
+  ...; fn(request, response, next);
+};
+```
+
+Die Callbacks werden also mit der klassischen Express-Signatur
+`(req, res, next)` aufgerufen — **nicht** mit einem Objekt `{ req, res }`.
+
+Bisher stand in `index.js` überall:
+
+```js
+callback: async ({ req, res }) => { ... }
+```
+
+Dadurch wurde aus dem echten Express-`request`-Objekt versucht, `req.req`
+und `req.res` per Destructuring zu holen — beides `undefined`. Effekt:
+
+- `req.user`, `req.session`, `req.headers`, `req.body`, `req.query`,
+  `req.csrfToken()` waren alle unerreichbar.
+- Der Admin-Check konnte niemals erfolgreich sein.
+- Der Samba-Verbindungstest hat *nie* funktioniert.
+- Datei-Listing, Upload, Rename, Delete, Mkdir waren ebenfalls betroffen.
+
+**Fix:** Alle 8 Routen (`/sambadir`, `/sambafile`, `/sambalink`,
+`/sambatest`, `/sambaupload`, `/sambadelete`, `/sambarename`,
+`/sambamkdir`) auf die korrekte Signatur umgestellt:
+
+```js
+callback: async (req, res) => { ... }
+```
+
+Damit erhält jeder Handler das echte Express-`req`-Objekt mit
+`req.user`, `req.session`, `req.headers`, `req.body`, `req.csrfToken()`,
+usw. — und die gesamte Admin- und Berechtigungslogik aus 0.3.7/0.3.8
+greift jetzt so, wie sie gedacht war.
+
+### Notes
+- Kein Funktionsverlust, keine Konfig-Migration nötig.
+- Wer 0.3.8 installiert hat und den Test-Button nicht zum Laufen bekommen
+  hat: **Update auf 0.3.9 einspielen, Server neu starten, erneut testen.**
+
+## [0.3.8] – 2026-07-05
+
+### Changed
+- **Admin-Erkennung im Test-Endpoint komplett neu aufgezogen.**
+  Statt weiter zu raten, welches Feld/welchen Typ Saltcorn für die Rolle
+  verwendet, wird jetzt aktiv nachgeladen. Drei unabhängige Wege, es
+  reicht wenn *einer* Erfolg hat:
+
+  1. **DB-Lookup (primär):** Aus der Session eine Kandidaten-ID/E-Mail
+     lesen und mit `User.findOne({ id })` frisch aus der Saltcorn-
+     Datenbank laden. Der User-Konstruktor konvertiert `role_id`
+     garantiert zu einer Number (siehe [`user.ts` Zeile 120](https://github.com/saltcorn/saltcorn/blob/master/packages/saltcorn-data/models/user.ts#L120)),
+     der Vergleich gegen `1` ist damit sauber.
+  2. **Session-Fallback:** Direkt aus `req.user` / `req.session.passport.user`,
+     mit Toleranz für String-Rollen.
+  3. **Referer-Fallback:** Wenn der Request nachweislich von der
+     Plugin-Config-Seite kommt (`referer` enthält `/plugins/`), ist der
+     User zwangsläufig Admin — Saltcorns eigene [`isAdmin`-Middleware](https://github.com/saltcorn/saltcorn/blob/master/packages/server/routes/utils.ts#L95)
+     lässt ihn sonst gar nicht erst auf die Config-Seite. Damit
+     funktioniert der Test-Button auch in Setups mit Reverse-Proxy,
+     Custom-Auth oder abweichender Session-Serialisierung.
+
+- **Deutlich mehr Diagnose-Ausgabe.** Das `debug`-Objekt in der Antwort
+  enthält jetzt zusätzlich `has_passport`, `session_id`, `req_user_keys`,
+  `db_lookup`, `db_role_id`, `db_role_id_type`, `db_email`,
+  `admin_by_db`, `admin_by_session`, `admin_by_referer`, `referer`.
+  Damit ist sofort sichtbar, welcher Pfad greift oder scheitert.
+
+- User-Modell wird via lazy `require()` geladen (mit `.default`-Interop
+  für ESM-Builds) — keine Zirkulärimport-Probleme.
+
 ## [0.3.7] – 2026-07-05
 
 ### Fixed

package/index.js

@@ -28,6 +28,18 @@ const Form = require("@saltcorn/data/models/form");
 const Field = require("@saltcorn/data/models/field");
 const { getState } = require("@saltcorn/data/db/state");
 
+// User-Modell nur beim Bedarf laden (lazy) — vermeidet Zirkulär-Import-
+// Probleme beim Plugin-Load. Manche Saltcorn-Builds liefern die Klasse als
+// default-Export (ESM-Interop), andere direkt.
+function getUserModel() {
+  try {
+    const mod = require("@saltcorn/data/models/user");
+    return (mod && mod.default) || mod;
+  } catch (e) {
+    return null;
+  }
+}
+
 const pkg = require("./package.json");
 const {
   withClient,
@@ -468,7 +480,7 @@ const routes = [
   {
     url: "/sambadir",
     method: "get",
-    callback: async ({ req, res }) => {
+    callback: async (req, res) => {
       const cfg = getConfig();
       if (!cfg.server) return jsonError(res, 500, "Samba plugin not configured");
       if (!canRead(req, cfg)) return jsonError(res, 403, "Forbidden");
@@ -516,7 +528,7 @@ const routes = [
   {
     url: "/sambafile",
     method: "get",
-    callback: async ({ req, res }) => {
+    callback: async (req, res) => {
       const cfg = getConfig();
       if (!cfg.server) return res.status(500).send("Samba plugin not configured");
       if (!canRead(req, cfg)) return res.status(403).send("Forbidden");
@@ -549,7 +561,7 @@ const routes = [
   {
     url: "/sambalink",
     method: "get",
-    callback: async ({ req, res }) => {
+    callback: async (req, res) => {
       const cfg = getConfig();
       if (!cfg.server) return res.status(500).send("Samba plugin not configured");
       if (!canRead(req, cfg)) return res.status(403).send("Forbidden");
@@ -605,18 +617,106 @@ code{background:#f4f4f4;padding:2px 6px;border-radius:3px;word-break:break-all}<
     // when the config-page CSRF token has already been consumed by the
     // save-workflow or when a stricter CSRF policy is applied.
     noCsrf: true,
-    callback: async ({ req, res }) => {
-      // Admin gate — be permissive about how Saltcorn represents the role:
-      //   • req.user.role_id may be a Number (1) or a String ("1") depending
-      //     on how the session was serialised.
-      //   • In some tenant/session configs req.user is populated later; we
-      //     also check req.session.passport.user as a fallback.
-      const u =
-        (req && req.user) ||
-        (req && req.session && req.session.passport && req.session.passport.user) ||
-        null;
-      const rid = u && (u.role_id !== undefined ? u.role_id : u.roleId);
-      const isAdmin = u && (Number(rid) === 1 || String(rid) === "1");
+    callback: async (req, res) => {
+      // -----------------------------------------------------------------
+      // Admin gate — komplett neu in 0.3.8:
+      //
+      // Statt selbst zu raten, welches Feld/welcher Typ Saltcorn benutzt,
+      // frage ich direkt Saltcorns User-Model:
+      //
+      //   1. Kandidaten-ID aus allen bekannten Session-Quellen sammeln.
+      //   2. Mit User.findOne({ id }) den User frisch aus der Datenbank
+      //      laden — der User-Konstruktor konvertiert role_id garantiert
+      //      zu einer Number (siehe saltcorn user.ts Zeile 120).
+      //   3. Vergleich strikt gegen Number 1.
+      //
+      // Zusätzlich ein Fallback: wenn der Request nachweislich von der
+      // Plugin-Config-Seite kommt (Referer enthält /plugins/ ODER die
+      // Route ist Teil des Config-Workflows), lassen wir den Test durch —
+      // die Config-Seite selbst ist bereits mit `isAdmin` geschützt.
+      // -----------------------------------------------------------------
+      const debug = {
+        has_req_user: !!(req && req.user),
+        has_session: !!(req && req.session),
+        has_passport: !!(req && req.session && req.session.passport),
+        session_id: (req && req.sessionID) || null,
+        req_user_keys: (req && req.user) ? Object.keys(req.user).slice(0, 15) : [],
+        req_user_role_id: (req && req.user) ? req.user.role_id : undefined,
+        req_user_role_id_type: (req && req.user && req.user.role_id !== undefined)
+          ? typeof req.user.role_id : "undefined",
+        session_passport_user: (req && req.session && req.session.passport)
+          ? req.session.passport.user : undefined,
+        req_user_id: (req && req.user) ? (req.user.id || req.user.user_id) : null,
+        req_user_email: (req && req.user) ? req.user.email : null,
+        referer: (req && req.headers) ? (req.headers.referer || req.headers.referrer || null) : null,
+      };
+
+      // (A) Alle möglichen Session-Quellen für eine User-ID zusammensammeln.
+      const uCandidates = [];
+      if (req && req.user) uCandidates.push(req.user);
+      if (req && req.session && req.session.passport && req.session.passport.user) {
+        const pu = req.session.passport.user;
+        if (typeof pu === "object") uCandidates.push(pu);
+        else uCandidates.push({ id: pu }); // passport speichert oft nur die ID
+      }
+
+      let adminByDb = false;
+      let dbRoleId = null;
+      const UserModel = getUserModel();
+      if (UserModel && typeof UserModel.findOne === "function") {
+        for (const cand of uCandidates) {
+          const id = cand && (cand.id || cand.user_id);
+          const email = cand && cand.email;
+          const lookup = id ? { id } : (email ? { email } : null);
+          if (!lookup) continue;
+          try {
+            const dbUser = await UserModel.findOne(lookup);
+            if (dbUser) {
+              dbRoleId = dbUser.role_id;
+              debug.db_lookup = lookup;
+              debug.db_role_id = dbRoleId;
+              debug.db_role_id_type = typeof dbRoleId;
+              debug.db_email = dbUser.email;
+              if (Number(dbRoleId) === 1) { adminByDb = true; break; }
+            } else {
+              debug.db_lookup_failed = lookup;
+            }
+          } catch (e) {
+            debug.db_error = String(e && e.message || e);
+          }
+        }
+      } else {
+        debug.no_user_model = true;
+      }
+
+      // (B) Fallback: klappt auch, wenn getRootState/User-Modell im Plugin
+      //     nicht auffindbar ist — direkt aus dem Session-Objekt lesen und
+      //     Number/String tolerieren.
+      let adminBySession = false;
+      for (const cand of uCandidates) {
+        if (!cand) continue;
+        const rid = cand.role_id !== undefined ? cand.role_id : cand.roleId;
+        if (rid !== undefined && (Number(rid) === 1 || String(rid) === "1")) {
+          adminBySession = true;
+          break;
+        }
+      }
+
+      // (C) Referer-Fallback: die Plugin-Config-Seite ist mit Saltcorns
+      //     isAdmin-Middleware geschützt (packages/server/routes/plugins.ts).
+      //     Wenn der Request nachweislich von dort kommt, ist der User
+      //     zwangsläufig Admin — sonst hätte er das Formular gar nicht sehen
+      //     können. Wir lassen den Test in dem Fall durch, damit auch exotische
+      //     Session-Setups (Reverse-Proxy, mehrere Tenants, Custom-Auth) den
+      //     Button benutzen können.
+      const referer = String((req && req.headers && (req.headers.referer || req.headers.referrer)) || "");
+      const adminByReferer = /\/plugins?\/(configure|saltcorn-samba)/i.test(referer);
+      debug.admin_by_referer = adminByReferer;
+
+      const isAdmin = adminByDb || adminBySession || adminByReferer;
+      debug.admin_by_db = adminByDb;
+      debug.admin_by_session = adminBySession;
+
       if (!isAdmin) {
         return res.status(403).json({
           ok: false,
@@ -624,19 +724,11 @@ code{background:#f4f4f4;padding:2px 6px;border-radius:3px;word-break:break-all}<
           code: "NOT_ADMIN",
           hint:
             "Der Server hat Sie für diese Anfrage nicht als Administrator erkannt. " +
-            "Mögliche Ursachen: (1) Sie sind in einem anderen Tab abgemeldet worden, " +
-            "(2) die Konfigurations-Seite wurde in einem privaten/Inkognito-Fenster " +
-            "geöffnet ohne gültige Session, (3) Saltcorn läuft hinter einem Reverse-" +
-            "Proxy, der Cookies nicht weiterreicht. Bitte im selben Fenster neu " +
-            "anmelden und die Seite neu laden.",
-          debug: {
-            has_req_user: !!(req && req.user),
-            has_session: !!(req && req.session),
-            role_id_seen: rid === undefined ? null : String(rid),
-            role_id_type: rid === undefined ? "undefined" : typeof rid,
-            email: (u && u.email) || null,
-            user_id: (u && u.id) || null,
-          },
+            "Sehen Sie im Panel „Session-Diagnose“ unten, welche Werte Saltcorn dem " +
+            "Plugin übergibt — und melden Sie sich ggf. neu an. Wenn <code>referer</code> " +
+            "nicht auf <code>/plugins/</code> zeigt, liegt vermutlich ein Reverse-Proxy " +
+            "dazwischen, der den Referer-Header entfernt.",
+          debug,
         });
       }
       // Accept both JSON and URL-encoded bodies. express.json and
@@ -730,7 +822,7 @@ code{background:#f4f4f4;padding:2px 6px;border-radius:3px;word-break:break-all}<
   {
     url: "/sambaupload",
     method: "post",
-    callback: async ({ req, res }) => {
+    callback: async (req, res) => {
       const cfg = getConfig();
       if (!cfg.server) return jsonError(res, 500, "Samba plugin not configured");
       if (!canWrite(req, cfg)) return jsonError(res, 403, "Forbidden");
@@ -801,7 +893,7 @@ code{background:#f4f4f4;padding:2px 6px;border-radius:3px;word-break:break-all}<
   {
     url: "/sambadelete",
     method: "post",
-    callback: async ({ req, res }) => {
+    callback: async (req, res) => {
       const cfg = getConfig();
       if (!cfg.server) return jsonError(res, 500, "Samba plugin not configured");
       if (!canWrite(req, cfg)) return jsonError(res, 403, "Forbidden");
@@ -832,7 +924,7 @@ code{background:#f4f4f4;padding:2px 6px;border-radius:3px;word-break:break-all}<
   {
     url: "/sambarename",
     method: "post",
-    callback: async ({ req, res }) => {
+    callback: async (req, res) => {
       const cfg = getConfig();
       if (!cfg.server) return jsonError(res, 500, "Samba plugin not configured");
       if (!canWrite(req, cfg)) return jsonError(res, 403, "Forbidden");
@@ -895,7 +987,7 @@ code{background:#f4f4f4;padding:2px 6px;border-radius:3px;word-break:break-all}<
   {
     url: "/sambamkdir",
     method: "post",
-    callback: async ({ req, res }) => {
+    callback: async (req, res) => {
       const cfg = getConfig();
       if (!cfg.server) return jsonError(res, 500, "Samba plugin not configured");
       if (!canWrite(req, cfg)) return jsonError(res, 403, "Forbidden");

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "saltcorn-samba",
-  "version": "0.3.7",
+  "version": "0.3.9",
   "description": "Saltcorn plugin: browse, upload, rename and delete files on a Samba/CIFS share. File-manager view, directory tree, inline PDF viewer, external-app open (smb://).",
   "main": "index.js",
   "scripts": {