Phase C: die letzten sechs Typen — PDF, Bild, Feedback und Datei-Upload
Damit sind alle 15 QR-Typen gebaut. PDF und Bild brauchen eine hochgeladene Datei. Die liegt in der Datenbank, nicht auf der Platte: damit bleibt es bei einem Volumen, das gesichert werden muss — ein zweites wird beim Sichern zu leicht vergessen. Geprueft wird der Dateiinhalt, nicht die Endung; eine Textdatei namens harmlos.pdf kommt nicht durch. SVG ist bewusst nicht erlaubt, weil es Skripte enthalten darf und von derselben Adresse wie die Anwendung ausgeliefert wuerde. Ausgeliefert wird mit nosniff und einer CSP-Sandbox, damit auch ein PDF mit Skripten nichts anrichtet. Dateien haengen am Code: wird er geloescht, geht sie mit. Eine ausgetauschte oder nie gespeicherte Datei wird nach 24 Stunden weggeraeumt. Eine fremde Datei laesst sich nicht an den eigenen Code haengen — sonst koennte man sie einem anderen Code entziehen. Feedback sammelt Note und Kommentar, ohne Name, IP oder Geraetekennung. Die Auswertung mit Durchschnitt, Verteilung und Kommentaren ist aus der Codeliste erreichbar — ein Feedback-Code ohne Auswertung waere nur die halbe Sache.
This commit is contained in:
Florian Wilde
@@ -0,0 +1,194 @@
|
||||
import "server-only";
|
||||
|
||||
import { prisma } from "@/lib/db";
|
||||
import { QrRequestError } from "@/lib/qr/type-module";
|
||||
import {
|
||||
formatBytes,
|
||||
UPLOAD_KINDS,
|
||||
type UploadKind,
|
||||
} from "@/lib/uploads.shared";
|
||||
|
||||
// Weiterreichen, damit Aufrufer auf dem Server nur ein Modul kennen müssen.
|
||||
export {
|
||||
UPLOAD_KINDS,
|
||||
formatBytes,
|
||||
isUploadKind,
|
||||
} from "@/lib/uploads.shared";
|
||||
export type { UploadKind } from "@/lib/uploads.shared";
|
||||
|
||||
/** Voreinstellung, überschreibbar per `MAX_UPLOAD_MB`. */
|
||||
const DEFAULT_MAX_MB = 10;
|
||||
|
||||
export function maxUploadBytes(): number {
|
||||
const raw = Number.parseInt(process.env.MAX_UPLOAD_MB ?? "", 10);
|
||||
const mb = Number.isFinite(raw) && raw > 0 && raw <= 200 ? raw : DEFAULT_MAX_MB;
|
||||
return mb * 1024 * 1024;
|
||||
}
|
||||
|
||||
/**
|
||||
* Dateiart anhand der ersten Bytes bestimmen.
|
||||
*
|
||||
* Der vom Browser gemeldete Typ kommt aus der Dateiendung und lässt sich
|
||||
* beliebig setzen. Was wirklich in der Datei steht, verrät nur ihr Anfang —
|
||||
* und danach richten wir uns, damit unter dem Namen „bild.png“ nichts
|
||||
* anderes ins Haus kommt.
|
||||
*/
|
||||
export function sniffMimeType(bytes: Uint8Array): string | null {
|
||||
const starts = (...signature: number[]) =>
|
||||
signature.every((byte, index) => bytes[index] === byte);
|
||||
|
||||
if (starts(0x25, 0x50, 0x44, 0x46)) return "application/pdf"; // %PDF
|
||||
if (starts(0x89, 0x50, 0x4e, 0x47, 0x0d, 0x0a, 0x1a, 0x0a)) return "image/png";
|
||||
if (starts(0xff, 0xd8, 0xff)) return "image/jpeg";
|
||||
if (starts(0x47, 0x49, 0x46, 0x38)) return "image/gif"; // GIF8
|
||||
|
||||
// RIFF....WEBP
|
||||
if (
|
||||
starts(0x52, 0x49, 0x46, 0x46) &&
|
||||
bytes[8] === 0x57 &&
|
||||
bytes[9] === 0x45 &&
|
||||
bytes[10] === 0x42 &&
|
||||
bytes[11] === 0x50
|
||||
) {
|
||||
return "image/webp";
|
||||
}
|
||||
|
||||
// ....ftypavif — die Marke steht ab Byte 4.
|
||||
const brand = String.fromCharCode(...bytes.slice(4, 12));
|
||||
if (brand.startsWith("ftyp") && brand.slice(4, 8) === "avif") {
|
||||
return "image/avif";
|
||||
}
|
||||
|
||||
return null;
|
||||
}
|
||||
|
||||
/** Zeichen, die in Dateinamen oder in Kopfzeilen Ärger machen. */
|
||||
const HEIKLE_ZEICHEN = new Set(['"', "*", ":", "<", ">", "?", "|"]);
|
||||
|
||||
/**
|
||||
* Ein harmloser Dateiname: ohne Pfad, ohne Steuerzeichen, nicht zu lang.
|
||||
*
|
||||
* Der Name landet in der `Content-Disposition`-Kopfzeile beim Herunterladen.
|
||||
* Ein Zeilenumbruch darin könnte weitere Kopfzeilen einschleusen, deshalb
|
||||
* fliegt alles unterhalb des Leerzeichens raus.
|
||||
*/
|
||||
export function sanitizeFilename(name: string, fallback: string): string {
|
||||
const base = name.split(/[\\/]/).pop() ?? "";
|
||||
const clean = [...base]
|
||||
.filter((zeichen) => {
|
||||
const code = zeichen.codePointAt(0) ?? 0;
|
||||
if (code < 0x20 || code === 0x7f) return false;
|
||||
return !HEIKLE_ZEICHEN.has(zeichen);
|
||||
})
|
||||
.join("")
|
||||
.trim();
|
||||
|
||||
if (clean.length === 0 || clean === "." || clean === "..") return fallback;
|
||||
return clean.slice(0, 120);
|
||||
}
|
||||
|
||||
export type StoredUpload = {
|
||||
id: string;
|
||||
filename: string;
|
||||
mimeType: string;
|
||||
size: number;
|
||||
};
|
||||
|
||||
/**
|
||||
* Nimmt eine Datei entgegen und legt sie ab — noch ohne Bezug zu einem Code.
|
||||
* Verknüpft wird sie erst, wenn der Code gespeichert wird.
|
||||
*/
|
||||
export async function storeUpload(
|
||||
file: File,
|
||||
kind: UploadKind,
|
||||
): Promise<StoredUpload> {
|
||||
const limit = maxUploadBytes();
|
||||
if (file.size === 0) {
|
||||
throw new QrRequestError("Die Datei ist leer.");
|
||||
}
|
||||
if (file.size > limit) {
|
||||
throw new QrRequestError(
|
||||
`Die Datei ist zu groß (${formatBytes(file.size)}). Erlaubt sind bis zu ${formatBytes(limit)}.`,
|
||||
);
|
||||
}
|
||||
|
||||
const bytes = new Uint8Array(await file.arrayBuffer());
|
||||
// Zweite Prüfung: `file.size` ist nur eine Angabe des Browsers.
|
||||
if (bytes.byteLength > limit) {
|
||||
throw new QrRequestError(
|
||||
`Die Datei ist zu groß. Erlaubt sind bis zu ${formatBytes(limit)}.`,
|
||||
);
|
||||
}
|
||||
|
||||
const erkannt = sniffMimeType(bytes);
|
||||
const erlaubt: readonly string[] = UPLOAD_KINDS[kind].mimeTypes;
|
||||
if (!erkannt || !erlaubt.includes(erkannt)) {
|
||||
throw new QrRequestError(
|
||||
kind === "pdf"
|
||||
? "Das ist keine PDF-Datei. Bitte lade ein PDF hoch."
|
||||
: "Das ist kein unterstütztes Bild. Erlaubt sind PNG, JPEG, WebP, GIF und AVIF.",
|
||||
);
|
||||
}
|
||||
|
||||
return prisma.upload.create({
|
||||
data: {
|
||||
filename: sanitizeFilename(
|
||||
file.name,
|
||||
kind === "pdf" ? "dokument.pdf" : "bild",
|
||||
),
|
||||
mimeType: erkannt,
|
||||
size: bytes.byteLength,
|
||||
data: Buffer.from(bytes),
|
||||
},
|
||||
select: { id: true, filename: true, mimeType: true, size: true },
|
||||
});
|
||||
}
|
||||
|
||||
/**
|
||||
* Verknüpft die Dateien eines Codes mit ihm und löst die, die nicht mehr
|
||||
* dazugehören.
|
||||
*
|
||||
* Wird beim Anlegen und bei jeder Änderung aufgerufen. Eine ausgetauschte
|
||||
* Datei verliert dadurch ihren Bezug und fällt später dem Aufräumen zum
|
||||
* Opfer — sofort löschen wäre riskanter, falls das Speichern doch scheitert.
|
||||
*/
|
||||
export async function attachUploads(
|
||||
qrCodeId: string,
|
||||
uploadIds: readonly string[],
|
||||
): Promise<void> {
|
||||
await prisma.upload.updateMany({
|
||||
where: { qrCodeId, id: { notIn: [...uploadIds] } },
|
||||
data: { qrCodeId: null },
|
||||
});
|
||||
|
||||
if (uploadIds.length === 0) return;
|
||||
|
||||
await prisma.upload.updateMany({
|
||||
// Nur freie Dateien oder solche, die schon zu diesem Code gehören: sonst
|
||||
// ließe sich eine fremde Datei durch Angabe ihrer Id an den eigenen Code
|
||||
// hängen — und damit aus dem fremden Code entfernen.
|
||||
where: {
|
||||
id: { in: [...uploadIds] },
|
||||
OR: [{ qrCodeId: null }, { qrCodeId }],
|
||||
},
|
||||
data: { qrCodeId },
|
||||
});
|
||||
}
|
||||
|
||||
/** Wie lange eine hochgeladene, aber nie gespeicherte Datei liegen bleibt. */
|
||||
const ORPHAN_HOURS = 24;
|
||||
|
||||
/**
|
||||
* Räumt Dateien weg, die zu keinem Code gehören.
|
||||
*
|
||||
* Das passiert, wenn jemand eine Datei auswählt und den Code dann doch nicht
|
||||
* speichert. Aufgerufen wird das beim nächsten Upload — ein eigener Dienst
|
||||
* dafür wäre bei diesen Mengen übertrieben.
|
||||
*/
|
||||
export async function cleanupOrphanedUploads(): Promise<number> {
|
||||
const grenze = new Date(Date.now() - ORPHAN_HOURS * 60 * 60 * 1000);
|
||||
const { count } = await prisma.upload.deleteMany({
|
||||
where: { qrCodeId: null, createdAt: { lt: grenze } },
|
||||
});
|
||||
return count;
|
||||
}
|
||||
Reference in New Issue
Block a user