Bouw de optionele Managed Intake-gebruikersreis in OciDeck

brenno commented

2026-10-04 12:11:35 +00:00

Owner

Doel

Implementeer na #2259 en het gemergde OciServe-contract de volledige optionele Managed Intake-reis, zonder de lokale formulierervaring van een server afhankelijk te maken.

Upstream contract: brenno/OciServe#629

Maker/organisator

Publiceer vanuit de bestaande formulier-/Inboxcontext een immutable snapshot via de geauthenticeerde OciServe-integratie.
Toon server, organisatie, versie/hash, doel, retentie en correctiebeleid vóór bevestiging.
Maak lokaal wijzigen zichtbaar als een nieuwe publicatieversie.
Haal toegewezen inzendingen/revisies in de Inbox op; bewaar ontvangen originelen immutable en werk op een kopie.
Open/sluit correctierondes volgens serverbeleid; overschrijf nooit respondentbytes.

Respondent

Open uitnodiging zonder OIDC-account.
Voer e-mailadres en een door OciServe verstuurde code in; code nooit in URL, bestand of log.
Vul lokaal in en kan altijd lokaal opslaan/exporteren.
Insturen is een expliciete keuze, nooit automatische synchronisatie.
Upload concept of definitief met voortgang, retry/idempotency en groottebegrenzing.
Gebruik later terugkeerlink plus een nieuwe code voor ophalen.
Bewerk alleen bij een toegestane correctieronde en stuur als nieuwe revisie in.
Trek in met verse verificatie en duidelijke uitleg.

De geverifieerde mailbox is transportmetadata. Een e-mailadres als formulierantwoord mag ontbreken of afwijken.

Acceptatiecriteria

Zonder insturen blijft maken → invullen → lokaal opslaan/importeren volledig bruikbaar.
Geen achtergrond-upload of impliciete accountvorming.
Definitief insturen vereist ondubbelzinnige bevestiging en toont bestemming/doel.
Terugkeerlink alleen geeft geen toegang; verse code is vereist.
Correctie maakt revision n+1 en laat het ontvangen origineel onaangeroerd.
Netwerkuitval, verlopen code/grant, conflict, gesloten formulier, quota en serverstoring bewaren lokaal werk en bieden herstel.
Respondent- en organisatorroutes gebruiken gescheiden authketens.
Payloadlimieten, hashes en onbekende statuswaarden worden fail-closed behandeld.
Nieuwe tekst is gelokaliseerd en toegankelijk; toetsenbord en schermlezer zijn getest.
Widget-, service-, contract- en functionele tests dekken insturen én niet insturen.
Beeldkeuring dekt uitnodiging, code, verzenden, hervatten, correctie en fouten.

Afhankelijkheden

Geblokkeerd door #2259, #2263 en een definitief/gemergd OciServe-contract.

## Doel Implementeer na #2259 en het gemergde OciServe-contract de volledige optionele Managed Intake-reis, zonder de lokale formulierervaring van een server afhankelijk te maken. Upstream contract: https://pawprint.vigilis.online/brenno/OciServe/issues/629 ## Maker/organisator - Publiceer vanuit de bestaande formulier-/Inboxcontext een immutable snapshot via de geauthenticeerde OciServe-integratie. - Toon server, organisatie, versie/hash, doel, retentie en correctiebeleid vóór bevestiging. - Maak lokaal wijzigen zichtbaar als een nieuwe publicatieversie. - Haal toegewezen inzendingen/revisies in de Inbox op; bewaar ontvangen originelen immutable en werk op een kopie. - Open/sluit correctierondes volgens serverbeleid; overschrijf nooit respondentbytes. ## Respondent - Open uitnodiging zonder OIDC-account. - Voer e-mailadres en een door OciServe verstuurde code in; code nooit in URL, bestand of log. - Vul lokaal in en kan altijd lokaal opslaan/exporteren. - Insturen is een expliciete keuze, nooit automatische synchronisatie. - Upload concept of definitief met voortgang, retry/idempotency en groottebegrenzing. - Gebruik later terugkeerlink plus een nieuwe code voor ophalen. - Bewerk alleen bij een toegestane correctieronde en stuur als nieuwe revisie in. - Trek in met verse verificatie en duidelijke uitleg. De geverifieerde mailbox is transportmetadata. Een e-mailadres als formulierantwoord mag ontbreken of afwijken. ## Acceptatiecriteria - [ ] Zonder insturen blijft maken → invullen → lokaal opslaan/importeren volledig bruikbaar. - [ ] Geen achtergrond-upload of impliciete accountvorming. - [ ] Definitief insturen vereist ondubbelzinnige bevestiging en toont bestemming/doel. - [ ] Terugkeerlink alleen geeft geen toegang; verse code is vereist. - [ ] Correctie maakt revision n+1 en laat het ontvangen origineel onaangeroerd. - [ ] Netwerkuitval, verlopen code/grant, conflict, gesloten formulier, quota en serverstoring bewaren lokaal werk en bieden herstel. - [ ] Respondent- en organisatorroutes gebruiken gescheiden authketens. - [ ] Payloadlimieten, hashes en onbekende statuswaarden worden fail-closed behandeld. - [ ] Nieuwe tekst is gelokaliseerd en toegankelijk; toetsenbord en schermlezer zijn getest. - [ ] Widget-, service-, contract- en functionele tests dekken insturen én niet insturen. - [ ] Beeldkeuring dekt uitnodiging, code, verzenden, hervatten, correctie en fouten. ## Afhankelijkheden Geblokkeerd door #2259, #2263 en een definitief/gemergd OciServe-contract.

brenno added the

privacy

enhancement

security

labels

2026-10-04 12:11:35 +00:00

brenno referenced this issue

2026-10-04 12:12:41 +00:00

Breid de OciServe-contractpoort uit voor Managed Intake #2262

brenno referenced this issue

2026-10-04 12:14:19 +00:00

Herontwerp formulierintake als optionele OciServe Managed Intake #2259