saltcorn-samba 0.4.14 → 0.4.15

package/CHANGELOG.md

@@ -4,6 +4,57 @@ All notable changes to `saltcorn-samba` are documented here.
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/)
 and this project adheres to [Semantic Versioning](https://semver.org/).
 
+## [0.4.15] – 2026-07-07
+
+### Fixed – CSRF-Fehlermeldung bei Upload / Ordner anlegen / Rename / Delete
+
+Bei jedem schreibenden Klick in der File-Manager-View („Ordner anlegen“,
+„Datei hochladen“, „umbenennen“, „löschen“) erschien der Fehler
+`Invalid CSRF token`, obwohl der Client den Token korrekt im Header
+`X-CSRF-Token` mitgeschickt hat.
+
+**Root Cause:** Saltcorns globaler `csurf`-Middleware validiert bereits
+alle POST-Routen der Plugins gegen das Session-Secret. Unser Plugin hatte
+zusätzlich eine manuelle `checkCsrf(req)`-Funktion, die den vom Client
+geschickten Token mit `req.csrfToken()` verglich. `req.csrfToken()` gibt
+aber bei jedem Aufruf einen **frisch gesalzenen** Token zurück – der
+Stringvergleich `provided !== req.csrfToken()` schlug daher immer fehl,
+auch bei völlig gültigen Requests.
+
+**Fix:** `checkCsrf` ist jetzt ein dokumentierter No-Op. Die eigentliche
+CSRF-Prüfung übernimmt weiterhin Saltcorns Middleware (kein Sicherheits-
+abbau). Betroffene Write-Routen (Upload, Mkdir, Rename, Delete) in
+`index.js` sind unverändert und funktionieren jetzt korrekt.
+
+### Added – View-Basispfad (`view_base_path`) für File-Manager und Tree
+
+Beide Views (SambaFileManager und SambaTree) haben ein neues optionales
+Konfigurationsfeld **„View-Basispfad (relativ zum Plugin-Basispfad)“**.
+Damit lässt sich der Pfad zweistufig konfigurieren:
+
+1. **Plugin-Basispfad** (weiterhin Pflicht) – z. B. `static` – legt fest,
+   in welchem Unterverzeichnis der Freigabe der Plugin-Root liegt.
+2. **View-Basispfad** (neu, optional) – z. B. `projekte/2026` – ein
+   statischer Präfix, der nur für diese eine View gilt.
+
+Beispiel: Plugin-Basispfad = `static`, View-Basispfad = `projekte/2026`
+→ die View listet den effektiven Pfad `static/projekte/2026`.
+
+Der bisherige `extra_subpath` in beiden Views ist jetzt konsistent auf
+den `from_field`-Modus beschränkt (dort weiterhin: Suffix hinter dem
+Feldwert der aktuellen Zeile). Im `static`-Modus zählt nur
+`view_base_path`.
+
+Der zusammengesetzte Pfad wird pro Segment slash-getrimmt und
+durchläuft `sanitizeRelativePath`, so dass `..`-Traversal, absolute
+Pfade, UNC-Präfixe usw. weiterhin abgelehnt werden.
+
+### Tests
+
+`test/sanitize.test.js` deckt jetzt zusätzlich die Pfad-Komposition
+(`view_base_path` + Feldwert + `extra_subpath`) inklusive Slash-
+Normalisierung, Modus-Regeln und Traversal-Ablehnung ab.
+
 ## [0.4.14] – 2026-07-06
 
 ### Changed – Code-Review / Aufräumen (keine Verhaltensänderung)

package/README.md

@@ -194,9 +194,10 @@ Optionen:
 
 | Option | Zweck |
 |---|---|
-| **Root directory mode** | `static` = immer Base-Path aus Plugin-Config, `from_field` = Sub-Pfad kommt aus einem DB-Feld der aktuellen Zeile |
-| **Row field with sub-path** | Feld der Tabelle mit dem relativen Ordnernamen (bei `from_field`) |
-| **Extra sub-path** | statischer Suffix (z. B. `invoices`) |
+| **View-Basispfad (relativ zum Plugin-Basispfad)** | Optionaler statischer Präfix nur für diese View. Beispiel: Plugin-Basispfad = `static`, View-Basispfad = `projekte/2026` → View listet `static/projekte/2026`. Zweistufige Konfiguration: einmal serverweit im Plugin, einmal pro View. |
+| **Row-Modus** | `static` = nur der View-Basispfad zählt, `from_field` = zusätzlich wird ein DB-Feldwert der aktuellen Zeile angehängt (z. B. in einer Show-View) |
+| **Feld mit Unterpfad** | Feld der Tabelle mit dem relativen Ordnernamen (nur bei `from_field`) |
+| **Zusätzlicher Suffix (nach dem Feldwert)** | statischer Suffix, z. B. `invoices` (nur bei `from_field`) |
 | **Show hidden files** | `.dotfiles` einblenden |
 | **Allow navigating up** | Up-Button aktivieren (nur bis zum Root, kein Ausbruch) |
 | **Open PDFs / images inline** | Klick öffnet die Datei im integrierten Viewer |
@@ -204,6 +205,10 @@ Optionen:
 | **Page size** | Einträge pro Seite (0 = alle) |
 | **Panel title** | Text im Karten-Header |
 
+Der effektive Pfad wird zusammengesetzt aus (jeweils falls gesetzt):
+`Plugin-Basispfad / View-Basispfad / Feldwert / Zusätzlicher Suffix`.
+`..`-Traversal, absolute Pfade und UNC-Präfixe werden abgelehnt.
+
 Beispiel-Datenmodell für kunden-spezifische Ordner:
 
 ```
@@ -212,12 +217,13 @@ Felder:   name (String), akte_dir (String, z. B. "kunde_42/2026")
 ```
 
 Dann eine Show-View von `kunden` bauen und die `SambaFileManager`-View mit
-Mode = `from_field`, Row field = `akte_dir` einbetten.
+Row-Modus = `from_field`, Feld = `akte_dir` einbetten.
 
 ### View: `SambaTree`
 
 Kompaktere Alternative – lazy-loading Baum, ideal in einer Sidebar oder
-neben Formularen. Gleiche Path-Modi wie beim File-Manager.
+neben Formularen. Gleiche Path-Optionen wie beim File-Manager (inkl.
+**View-Basispfad**, **Row-Modus**, **Feld**, **Zusätzlicher Suffix**).
 
 ### Fieldview `samba_pdf` (deaktiviert seit 0.3.2)
 

package/filemanager-view.js

@@ -44,31 +44,42 @@ const configuration_workflow = () =>
             .map((f) => f.name);
           return new Form({
             fields: [
+              new Field({
+                name: "view_base_path",
+                label: "View-Basispfad (relativ zum Plugin-Basispfad)",
+                type: "String",
+                sublabel:
+                  "Optional. Statischer Pfad relativ zum Plugin-Basispfad, der f\u00fcr diese View gilt. " +
+                  "Beispiel: Plugin-Basispfad = 'static', View-Basispfad = 'projekte/2026' \u2192 View listet 'static/projekte/2026'. " +
+                  "Keine f\u00fchrenden/abschlie\u00dfenden Slashes n\u00f6tig. Traversal (\u201e..\u201c) wird abgelehnt.",
+              }),
               new Field({
                 name: "mode",
-                label: "Root directory mode",
+                label: "Row-Modus",
                 type: "String",
                 required: true,
                 attributes: {
                   options: ["static", "from_field"],
                 },
                 sublabel:
-                  "static = always the plugin base_path. from_field = append a row field value to base_path (only when the view is embedded in a Show view).",
+                  "static = immer nur der View-Basispfad. from_field = h\u00e4nge einen Feldwert der aktuellen Zeile an " +
+                  "(nur sinnvoll, wenn die View in einer Show-View eingebettet ist).",
                 default: "static",
               }),
               new Field({
                 name: "path_field",
-                label: "Row field with sub-path",
+                label: "Feld mit Unterpfad",
                 type: "String",
                 attributes: { options: stringFieldOptions },
                 showIf: { mode: "from_field" },
               }),
               new Field({
                 name: "extra_subpath",
-                label: "Extra sub-path (appended)",
+                label: "Zus\u00e4tzlicher Suffix (nach dem Feldwert)",
                 type: "String",
                 sublabel:
-                  "Optional. Static suffix appended after the field value. Example: 'invoices'",
+                  "Optional. Statischer Suffix, der nach dem Feldwert angeh\u00e4ngt wird. Beispiel: 'invoices'.",
+                showIf: { mode: "from_field" },
               }),
               new Field({
                 name: "show_hidden",
@@ -122,14 +133,37 @@ async function get_state_fields() {
   return [];
 }
 
+/**
+ * Compose the start path (relative to the plugin base_path) from three
+ * optional parts:
+ *   1. `view_base_path`  — static, per-view prefix
+ *   2. row field value    — only in "from_field" mode
+ *   3. `extra_subpath`   — static suffix, only in "from_field" mode
+ *
+ * Empty parts are dropped. The final joined path is passed through
+ * sanitizeRelativePath so traversal / absolute paths / backslashes are
+ * rejected consistently.
+ */
 function computeStartPath(configuration, row) {
   const parts = [];
+  if (configuration.view_base_path) {
+    parts.push(String(configuration.view_base_path));
+  }
   if (configuration.mode === "from_field" && configuration.path_field && row) {
     const v = row[configuration.path_field];
     if (v) parts.push(String(v));
   }
-  if (configuration.extra_subpath) parts.push(String(configuration.extra_subpath));
-  return sanitizeRelativePath(parts.join("/"));
+  if (
+    configuration.mode === "from_field" &&
+    configuration.extra_subpath
+  ) {
+    parts.push(String(configuration.extra_subpath));
+  }
+  const joined = parts
+    .map((p) => p.replace(/^\/+|\/+$/g, ""))
+    .filter(Boolean)
+    .join("/");
+  return sanitizeRelativePath(joined);
 }
 
 // ---------------------------------------------------------------------------

package/index.js

@@ -519,22 +519,18 @@ function jsonOk(res, extra) {
 }
 
 /**
- * Validate that the request carries a CSRF token matching the session.
- * Saltcorn injects `req.csrfToken()` when the CSRF middleware is active;
- * we accept either the `_csrf` body field or the `x-csrf-token` header.
+ * CSRF verification is handled by Saltcorn's global csurf middleware
+ * (packages/server/app.js). By the time our route handler runs, csurf
+ * has already validated req.body._csrf / X-CSRF-Token / csrf-token /
+ * xsrf-token headers against the session secret. A manual re-check
+ * here would be wrong: csrf-tokens returns a NEW salted token on
+ * every call to req.csrfToken(), so `provided !== req.csrfToken()`
+ * would fail even for perfectly valid requests.
+ *
+ * We keep this stub as the single documented spot to attach future
+ * pre-flight authorisation checks if ever needed.
  */
-function checkCsrf(req, res) {
-  if (typeof req.csrfToken !== "function") return true; // CSRF disabled globally
-  const expected = req.csrfToken();
-  const provided =
-    (req.body && req.body._csrf) ||
-    req.headers["x-csrf-token"] ||
-    req.headers["csrf-token"] ||
-    req.query._csrf;
-  if (!provided || provided !== expected) {
-    jsonError(res, 403, "Invalid CSRF token");
-    return false;
-  }
+function checkCsrf(_req, _res) {
   return true;
 }
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "saltcorn-samba",
-  "version": "0.4.14",
+  "version": "0.4.15",
   "description": "Saltcorn plugin: browse, upload, rename and delete files on a Samba/CIFS share via SMB 3.1.1 (AES-CMAC signing, optional encryption). File-manager view, directory tree, inline PDF viewer, external-app open (smb://).",
   "main": "index.js",
   "scripts": {

package/tree-view.js

@@ -41,30 +41,42 @@ const configuration_workflow = () =>
             .map((f) => f.name);
           return new Form({
             fields: [
+              new Field({
+                name: "view_base_path",
+                label: "View-Basispfad (relativ zum Plugin-Basispfad)",
+                type: "String",
+                sublabel:
+                  "Optional. Statischer Pfad relativ zum Plugin-Basispfad, der f\u00fcr diese View gilt. " +
+                  "Beispiel: Plugin-Basispfad = 'static', View-Basispfad = 'projekte/2026' \u2192 View listet 'static/projekte/2026'. " +
+                  "Keine f\u00fchrenden/abschlie\u00dfenden Slashes n\u00f6tig. Traversal (\u201e..\u201c) wird abgelehnt.",
+              }),
               new Field({
                 name: "mode",
-                label: "Path mode",
+                label: "Row-Modus",
                 type: "String",
                 required: true,
                 attributes: {
                   options: ["static", "from_field"],
                 },
                 sublabel:
-                  "static = always show the plugin base_path; from_field = append a row field value",
+                  "static = immer nur der View-Basispfad. from_field = h\u00e4nge einen Feldwert der aktuellen Zeile an " +
+                  "(nur sinnvoll, wenn die View in einer Show-View eingebettet ist).",
+                default: "static",
               }),
               new Field({
                 name: "path_field",
-                label: "Row field with sub-path",
+                label: "Feld mit Unterpfad",
                 type: "String",
                 attributes: { options: stringFieldOptions },
                 showIf: { mode: "from_field" },
               }),
               new Field({
                 name: "extra_subpath",
-                label: "Extra sub-path (appended)",
+                label: "Zus\u00e4tzlicher Suffix (nach dem Feldwert)",
                 type: "String",
                 sublabel:
-                  "Optional. Static suffix appended after the field value. Example: 'invoices'",
+                  "Optional. Statischer Suffix, der nach dem Feldwert angeh\u00e4ngt wird. Beispiel: 'invoices'.",
+                showIf: { mode: "from_field" },
               }),
               new Field({
                 name: "show_hidden",
@@ -104,17 +116,35 @@ async function get_state_fields(table_id, viewname, { mode, path_field }) {
 }
 
 /**
- * Given the view configuration + a Saltcorn row, compute the effective
- * relative path (below base_path) that the tree should start from.
+ * Compose the start path (relative to the plugin base_path) from three
+ * optional parts:
+ *   1. `view_base_path`  — static, per-view prefix
+ *   2. row field value    — only in "from_field" mode
+ *   3. `extra_subpath`   — static suffix, only in "from_field" mode
+ *
+ * Empty parts are dropped and slash-trimmed. The final joined path is
+ * passed through sanitizeRelativePath so traversal / absolute paths /
+ * backslashes are rejected consistently.
  */
 function computeStartPath(configuration, row) {
   const parts = [];
+  if (configuration.view_base_path) {
+    parts.push(String(configuration.view_base_path));
+  }
   if (configuration.mode === "from_field" && configuration.path_field && row) {
     const v = row[configuration.path_field];
     if (v) parts.push(String(v));
   }
-  if (configuration.extra_subpath) parts.push(String(configuration.extra_subpath));
-  const joined = parts.join("/");
+  if (
+    configuration.mode === "from_field" &&
+    configuration.extra_subpath
+  ) {
+    parts.push(String(configuration.extra_subpath));
+  }
+  const joined = parts
+    .map((p) => p.replace(/^\/+|\/+$/g, ""))
+    .filter(Boolean)
+    .join("/");
   // sanitizeRelativePath throws on traversal – we let the caller handle it.
   return sanitizeRelativePath(joined);
 }