web/index.html verstuurt uitgebreide documentatie-commentaar naar elke bezoeker #952

New issue

Closed

opened 2026-07-29 08:16:12 +00:00 by brenno · 2 comments

brenno commented

2026-07-29 08:16:12 +00:00

Owner

Ontdekt door Jeroen Diel, dank daarvoor.

Wie de paginabron van de gedeployde webversie bekijkt (View Source / devtools), krijgt uitgebreide uitleg-commentaar te zien in web/index.html — o.a. het volledige CSP-hardeningsverhaal (regel 22-72) en de Referrer-Policy-toelichting (regel 75-88). Dat commentaar bestaat al grotendeels als proza in docs/BUILD.md en docs/HOSTING.md (de comments verwijzen daar zelf ook naar). HTML-commentaar heeft geen enkel functioneel doel — de browser negeert het volledig — dus dit is puur documentatie die naar elke bezoeker meegaat in plaats van naar de mensen die er iets aan hebben: toekomstige onderhouders die de broncode lezen.

Ik heb bevestigd dat de webbuild zelf (build/web/main.dart.js) geen Dart-broncommentaar lekt (geminificeerd, geen source maps) — dit gaat specifiek over web/index.html, dat ongewijzigd (op de $FLUTTER_BASE_HREF-placeholder na) wordt meegebouwd en gedeployed.

Voorstel: haal de uitleg-commentaren uit web/index.html die al (of voortaan) in docs/BUILD.md/docs/HOSTING.md staan, en laat waar zinvol een korte verwijzing staan i.p.v. de volledige toelichting. Comments die geen doel dienen (bijv. "Favicon", "iOS meta tags & icons") kunnen gewoon weg.

Ontdekt door Jeroen Diel, dank daarvoor. Wie de paginabron van de gedeployde webversie bekijkt (View Source / devtools), krijgt uitgebreide uitleg-commentaar te zien in `web/index.html` — o.a. het volledige CSP-hardeningsverhaal (regel 22-72) en de Referrer-Policy-toelichting (regel 75-88). Dat commentaar bestaat al grotendeels als proza in `docs/BUILD.md` en `docs/HOSTING.md` (de comments verwijzen daar zelf ook naar). HTML-commentaar heeft geen enkel functioneel doel — de browser negeert het volledig — dus dit is puur documentatie die naar elke bezoeker meegaat in plaats van naar de mensen die er iets aan hebben: toekomstige onderhouders die de broncode lezen. Ik heb bevestigd dat de webbuild zelf (`build/web/main.dart.js`) geen Dart-broncommentaar lekt (geminificeerd, geen source maps) — dit gaat specifiek over `web/index.html`, dat ongewijzigd (op de `$FLUTTER_BASE_HREF`-placeholder na) wordt meegebouwd en gedeployed. Voorstel: haal de uitleg-commentaren uit `web/index.html` die al (of voortaan) in `docs/BUILD.md`/`docs/HOSTING.md` staan, en laat waar zinvol een korte verwijzing staan i.p.v. de volledige toelichting. Comments die geen doel dienen (bijv. "Favicon", "iOS meta tags & icons") kunnen gewoon weg.

brenno added the

docs

in-progress

labels

2026-07-29 08:16:12 +00:00

brenno commented

2026-07-29 08:16:17 +00:00

Author

Owner

Opgepakt. Tak: fix/index-html-comment-leak. Verwachte reikwijdte: web/index.html, docs/BUILD.md, docs/HOSTING.md.

brenno referenced this issue from a commit

2026-07-29 08:32:09 +00:00

fix(web): stop shipping doc-comments in web/index.html to every visitor

brenno referenced this issue from a pull request that will close it,

2026-07-29 08:33:02 +00:00

fix(web): stop shipping doc-comments in web/index.html to every visitor #953

brenno closed this issue

2026-07-29 08:33:10 +00:00

brenno commented

2026-07-29 08:33:22 +00:00

Author

Owner

Opgelost in #953, gemerged op main als 1ea4d219 (commit 7fbc3509). web/index.html bevat nu alleen korte verwijzingen naar docs/SECURITY_DESIGN.md §1 en docs/BUILD.md — geen inhoudelijke uitleg meer die naar elke bezoeker van de gedeployde webversie meegaat. De volledige rationale staat nu in die twee docs, waar hij bedoeld is: voor toekomstige onderhouders, niet voor elke View Source.

Opgelost in #953, gemerged op main als 1ea4d219 (commit 7fbc3509). web/index.html bevat nu alleen korte verwijzingen naar docs/SECURITY_DESIGN.md §1 en docs/BUILD.md — geen inhoudelijke uitleg meer die naar elke bezoeker van de gedeployde webversie meegaat. De volledige rationale staat nu in die twee docs, waar hij bedoeld is: voor toekomstige onderhouders, niet voor elke View Source.

brenno removed the

in-progress

label

2026-07-29 08:33:22 +00:00