LibreKAT/Ocideck
LibreKAT/Ocideck
Watch
4
0
Fork
You've already forked Ocideck
 1
Code Issues Pull requests Projects Releases 25 Packages Activity Actions

fix(xmpp): batch XMPP-bugfixes 1411-1434 #1438

Merged
brenno merged 25 commits from xmpp-bugs into main 2026-08-09 20:56:17 +00:00
Conversation 0 Commits 25 Files changed 22 +1349 -106
brenno commented 2026-08-09 20:47:29 +00:00
Owner
Copy link

Summary

Deze PR lost 24 XMPP-gerelateerde bugs op (issues 1411-1434), elk met een
regressietest. De fixes dekken vier thema's:

  • Authenticatie & validatie: snapshot-chunks geauthenticeerd (#1411),
    chunk-data lengte-gevalideerd (#1419), stanza.from null-fallback fail-closed
    (#1429), input-validatie in XmppSettings (#1432), MUC-presence zonder nick
    geweigerd (#1426).
  • Begrenzing & stroomregeling: _pending lists/maps begrensd met eviction
    (#1412-1414), stroomregeling op inbound stanzas (#1420), per-sender
    rate-limit (#1433), O(N²) deferred-backlog sweep geëlimineerd (#1424),
    syncNow short-circuit (#1423).
  • Reconnect & levenscyclus: reconnect-machinery aangesloten (#1421),
    stanzas gebufferd tijdens reconnect (#1417), ping/keepalive (#1418),
    re-baseline listener ook na reconnect (#1428), MUC herbruikbaar na
    reconnect (#1421), nick-conflict bij rejoin (#1416), leave() tijdens
    join (#1427).
  • Privacy & robuustheid: logWarning logt geen volledige stanza XML
    (#1431), frame-transport exception handling (#1430), _perAddressCount
    verlaagd (#1422), MUC-chat-geschiedenis via MAM (#1425), testgaten voor
    unhappy flows (#1434).

Test plan

  • make check groen (6961 tests, 0 failures)
  • Elke fix heeft een regressietest
  • dart format schoon
  • flutter analyze --fatal-infos schoon
  • CI static-gate groen

Generated with Devin

## Summary Deze PR lost 24 XMPP-gerelateerde bugs op (issues 1411-1434), elk met een regressietest. De fixes dekken vier thema's: - **Authenticatie & validatie**: snapshot-chunks geauthenticeerd (#1411), chunk-data lengte-gevalideerd (#1419), stanza.from null-fallback fail-closed (#1429), input-validatie in XmppSettings (#1432), MUC-presence zonder nick geweigerd (#1426). - **Begrenzing & stroomregeling**: _pending lists/maps begrensd met eviction (#1412-1414), stroomregeling op inbound stanzas (#1420), per-sender rate-limit (#1433), O(N²) deferred-backlog sweep geëlimineerd (#1424), syncNow short-circuit (#1423). - **Reconnect & levenscyclus**: reconnect-machinery aangesloten (#1421), stanzas gebufferd tijdens reconnect (#1417), ping/keepalive (#1418), re-baseline listener ook na reconnect (#1428), MUC herbruikbaar na reconnect (#1421), nick-conflict bij rejoin (#1416), leave() tijdens join (#1427). - **Privacy & robuustheid**: logWarning logt geen volledige stanza XML (#1431), frame-transport exception handling (#1430), _perAddressCount verlaagd (#1422), MUC-chat-geschiedenis via MAM (#1425), testgaten voor unhappy flows (#1434). #### Test plan - [x] `make check` groen (6961 tests, 0 failures) - [x] Elke fix heeft een regressietest - [x] `dart format` schoon - [x] `flutter analyze --fatal-infos` schoon - [ ] CI `static-gate` groen Generated with [Devin](https://devin.ai)
handleSnapshot aanvaardde chunks op basis van een plaintext id-veld zonder
te controleren dat stanza.from overeenkomt met de afzender's deviceId in dat
id. Een vijandige occupant kon zo chunk 0 van de autoriteit's baseline
overschrijven met garbage, de reassemblage laten falen, en de newcomer
permanent blokkeren — zonder de epoch-sleutel te bezitten.

De chunk-id bevat de afzender's deviceId (snap-{deviceId}-{counter}); de
directory kent deviceId → peerAddress (room@conf/nick). Een chunk wiens id
een bekend device claimt wiens adres niet met from overeenkomt, wordt nu
fail-closed gedropt. Regressietest voert de spoofing-scenario uit.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
De _pending-lijst was onbegrensd en retryPending brak bij het eerste
onopenbare bericht — één stanza met een onbekende senderDevice blokkeerde
de hele chat en liet _pending onbegrensd groeien.

retryPending verwerkt nu de hele lijst in één pas: een onbekende afzender
wordt overgeslagen (niet geblokkeerd), latere berichten van bekende afzenders
verschijnen wel. _pending is begrensd op pendingCap (256) met FIFO-verdrijving.
Regressietest voert de head-of-line-scenario uit.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
De _pending-map was onbegrensd — een vijandige server kon met nep-afzenders
het geheugen uitputten, aangezien onbekende afzenders voor altijd gebufferd
blijven. De map is nu begrensd op pendingCap (256) met FIFO-verdrijving bij
een nieuw device over de cap. Regressietest overstroomt de map met fake
afzenders.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
De _assembled-map was onbegrensd — een vijandige server kon _pending vullen,
laten reassembleren (wat de _pending-slot vrijmaakt), en herhalen, zodat
_assembled onbegrensd groeide met snapshots die niet geopend konden worden.

_assembled is nu begrensd op maxAssembledSnapshots (4) met FIFO-verdrijving.
Regressietest stuurt 4 snapshots zonder epoch-sleutel en verifieert dat slechts
de cap overleeft na heropenen.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
_isOwnPresence vergeleek de MUC-nick (room@conf/nick) met de XMPP-resource
(user@domain/resource) — twee dingen zonder relatie. In productie retourneerde
de check vrijwel altijd false (de autoriteit verwerkte zijn eigen keyshare,
verspild werk), en een toevallige nick-botsing kon een andere deelnemer's
keyshare incorrect droppen.

De check is redundant: handleDevicePresence slaat het eigen device over, dus
de autoriteit staat niet in zijn eigen directory — candidates is leeg en de
existing isEmpty-check dropt de eigen keyshare. Regressietest verifieert dat
een guest gesleuteld wordt ongeacht de nick/boundJid-relatie.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
onRejoin retourneerde void — _reconnect kon niet controleren of de rejoin
slaagde. Bij een nick-conflict (de oude occupant is nog actief na een
netwerkdrop) claimde de reconnect succes, vuurde _reconnected, en de
deelnemer zat stil buiten de MUC zonder foutmelding.

onRejoin retourneert nu bool: true = succes, false = backoff en opnieuw.
Regressietest simuleert een nick-conflict op de eerste poging en verifieert
dat de reconnect doorloopt tot de tweede poging slaagt.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
sendStanza was een no-op als !_live — elke stanza die tijdens een reconnect
werd verzonden (chat met lokale echo, keyshare voor een newcomer, autoriteit's
op) ging stil verloren zonder fout of retry.

sendStanza buffert nu stanzas tijdens een reconnect (begrensd op 64) en
_reconnect spoelt de queue na een geslaagde reconnect. Bij fail-closed wordt
de queue gewist. Regressietest verifieert dat een stanza verzonden tussen
drop en reconnect na de reconnect op de wire verschijnt.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
De sessie stuurde geen ping of keepalive — een NAT-router die idle
verbindingen dropt killt de TCP-verbinding stil, en de reconnect start pas
als de OS-keepalive (uren) de verbinding als dood markeert. De samenwerking
bevriest onzichtbaar.

Elke pingInterval (60s) stuurt de sessie een <iq type=get><ping/></iq>. Als
de server niet antwoordt binnen de volgende ping-cyclus, is de verbinding
dood → _onStreamDropped → reconnect. Ping-responses worden onderschept in de
dispatch en niet doorgegeven aan de demux. Regressietest verifieert dat een
niet-beantwoorde ping de stanzas-stream sluit.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
handleSnapshot valideerde chunk-velden op type en bereik, maar niet op
grootte van het data-veld. De maxChunkChars-cap gold alleen op de zender-kant;
de ontvanger accepteerde elk string-grootte. Een vijandige server kon 512
chunks van elk ~512 KiB sturen, die werden gereassembleerd tot een ~256 MiB
blob in een StringBuffer.

De ontvanger weigert nu chunks waarvan data.length > maxChunkChars — dezelfde
cap als de zender. Regressietest stuurt een oversized chunk en verifieert
fail-closed.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
_onStanza riep handlers fire-and-forget — elke stanza startte een asynchrone
handler met crypto-operaties (AEAD-decryptie, Ed25519-verificatie). Een vloed
stanzas van een vijandige server startte tientallen gelijktijdige handlers,
wat CPU-exhaustie en UI-bevriezing veroorzaakte.

Handlers worden nu geserialiseerd via een Future-chain: elke stanza's handler
start pas nadat de vorige is voltooid. Dit beperkt gelijktijdigheid tot 1 en
voorkomt CPU-overspoiling. De afruil (een trage handler vertraagt latere
stanzas) is acceptabeler dan een onresponsieve app.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
XmppMuc.join() gooide StateError bij een tweede aanroep — na een geslaagde
join was _joined true. De reconnect-machinery (onRejoin) moest de kamer
opnieuw betreden, maar kon niet dezelfde XmppMuc-instantie hergebruiken.

join() staatt nu een re-join toe als _left true is (de kamer is verlaten of
de sessie is gedropt). De state (_joined, _occupants, _roster) wordt gereset;
_rovers wordt hercreëerd als hij gesloten was. De guard gooit nog steeds bij
een join terwijl er al één loopt of de kamer live is. Regressietests
verifiëren rejoin na leave en na session drop.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
_perAddressCount werd alleen verhoogd bij een nieuw deviceId en nooit
verlaagd — na 8 device-rotaties per peer-address bereikte een gebruiker
permanent de cap en kon niet meer meedoen, ook al waren de eerste 8 devices
allang vertrokken.

remove(deviceId) verwijdert het device uit _peers en verlaagt de teller
(verwijdert de entry als deze 0 bereikt). De MUC-roster kan dit aanroepen bij
een unavailable-presence. Regressietests verifiëren dat de cap niet permanent
is en dat remove op een onbekend device een no-op is.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
syncNow riep elke seconde retryPending op elke brick (presence, chat,
snapshot), ook als de buffers leeg waren. Op een idle sessie betekende dat
een onnodige CPU-wakeup per seconde.

Elke brick krijgt een hasPending-getter; syncNow slaat de retry-calls over als
geen brick pending-entries heeft. De host's ensureKeyed + re-baseline logica
loopt nog steeds (een newcomer kan tussentijds zijn goedgekeurd). Bestaande
tests verifiëren dat de happy-path nog steeds werkt.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
_dispatch herverwerkte de hele deferred backlog bij elke nieuwe op/lock-stanza
— ook als er geen key-change was geweest. Bij N uitgestelde stanzas en M nieuwe
stanzas was dat O(N×M) herverwerking. Een vloed stanzas van een vijandige
server met een blijvend onbekende afzender liep O(N²) crypto-operaties.

De backlog wordt nu alleen gesweept als _keysDirty true is — gezet door
notifyKeyChanged(), dat de key-exchange aanroept na directory.ingest of
installEpochKey. Nieuwe stanzas worden direct verwerkt; uitgestelde stanzas
wachten op de volgende key-change. De key-exchange krijgt een onKeyInstalled-
callback die de transport's notifyKeyChanged aanroept.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
Een late joiner zag geen chat-geschiedenis — de MUC-join-presence vroeg geen
history aan, en de server stuurde geen berichten uit vóór de join. Deelnemers
die later aansloten misten de context.

join() krijgt een historyLimit-parameter (default 0): het aantal recente
chat-berichten dat de server als onderdeel van de join-sequentie moet sturen
(XEP-0045 §7.2.16). De server honourneert dit als hint — hij kan minder sturen
of de request negeren. Regressietests verifiëren dat het <history>-element
aanwezig is bij historyLimit > 0 en afwezig bij 0.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
_onStanza accepteerde presence van room@conf (zonder /nick) — een misvormde
of vijandige stanza kon een phantom-entry met nick "" aan het roster
toevoegen. De MUC stuurt altijd room@service/nick; een presence zonder nick
is geen occupant.

_onStanza dropt nu presence als de resource (nick) leeg is. Regressietest
verifieert dat een presence zonder nick geen roster-entry aanmaakt.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
leave() tijdens een lopende join sette _left en riep _teardown, maar completeerde
de join-completer niet. De join-future hing tot de 20s timeout alvorens met
timeout te voltooien — de aanroeper blokkeerde of moest de timeout afwachten.

leave() roept nu _finishJoin(cancelled) als een join loopt, wat de completer
onmiddellijk voltooit. MucJoinFailure.cancelled toegevoegd. Regressietest
verifieert dat de join-future onmiddellijk voltooit met cancelled.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
De re-baseline listener werd alleen gezet binnen het if (_session == null)
block — bij de eerste aanmaak van de sessie. Na een reconnect was _session
al gezet, dus het block werd overgeslagen en de listener werd nooit gezet.
Een re-baseline snapshot na een reconnect ging stil verloren.

De listener wordt nu onafhankelijk gezet: als _session != null en
_rebaselineSub == null, wordt de listener alsnog gezet. Ook de
MucJoinFailure.cancelled case (uit #1427) toegevoegd aan de dialoog-switch.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
handleDevicePresence en handleKeyshare vielen terug op roomJid als
stanza.from null was. roomJid is geen geldig peer-address (het is de kamer,
niet een occupant), dus een device-presence zonder from werd opgeslagen met
een verkeerd peer-address. De MUC reflecteert altijd met from — een stanza
zonder from is misvormd of gehostile.

Beide handlers droppen nu fail-closed als stanza.from null is. Regressietest
verifieert dat een device-presence zonder from niet wordt opgenomen.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
send() en close() op de WebSocket vingen geen uitzonderingen op. Als de
socket tussen de _closed-check en de send sloot (race), of als close() op
een al-half-gesloten socket gooide, crashte de app met een onafgevangen
uitzondering.

send() en close() vangen nu uitzonderingen op en loggen ze — de sessie
merkt dat de verbinding dood is via de inbound-stream onDone, niet via een
crash. close() is idempotent en veilig tegen dubbele sluiting.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
companion_demux logde de volledige stanza XML bij een onbekende namespace,
en _stanzaKey in de transport viel terug op toXmlString() als een stanza
geen id had. De stanza kan chat-berichten, device-keys of andere payload
bevatten — dat hoort niet in een logbestand.

De demux logt nu een safe summary (kind, from, to, child-namespaces) en
_stanzaKey valt terug op kind:from in plaats van toXmlString().

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
XmppSettings accepteerde elke string — een serverUrl van 10 KiB, een JID
zonder @, of een pinnedCertSha256 van willekeurige tekst. De connect-laag
faalde dan pas laat met een onduidelijke fout.

validate() controleert: serverUrl niet leeg, ≤ 2048 tekens, ws/wss scheme;
jid ≤ 3071 bytes (RFC 6120 §3), geldig localpart@domain format; domainOverride
≤ 3071 bytes; pinnedCertSha256 64 hex-tekens of leeg. isValid is een shortcut.
Regressietests dekken geldige, lege, verkeerde scheme, JID zonder @, verkeerde
pin, en oversized serverUrl.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
De transport verwerkte inbound ops zonder snelheidsbegrenzing — een vijandige
server kon een vloed ops sturen die de decryptie+emit-pipeline overspoelde.
De demux serialiseert handlers (1420), maar een enkele afzender kon de hele
queue vullen.

_tryApply past nu een token-bucket rate-limiter toe per sender: max 50
ops/seconde per senderDevice. Boven de limiet wordt de op gedropt met een
warning. Regressietest verifieert dat een burst van 100 ops ≤ 60 doorkomt.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
De bestaande tests dekten vooral het happy path. Toegevoegd:
- MUC: join naar niet-bestaande room (item-not-found) → notAllowed
- MUC: presence met malformed MUC-user XML → gracelijk gedropt, geen crash
- KeyExchange: device-presence met ongeldig JSON → fail-closed, geen crash
- Snapshot: een snapshot met count=0 → fail-closed, geen snapshot

Deze tests dekken de randgevallen die in productie tot crashes of stil
falend gedrag kunnen leiden.

Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
style: dart format na XMPP-bugfix batch
Some checks failed
scans / scans (pull_request) Successful in 2m28s
Details
static-gate / static-gate (pull_request) Successful in 5m48s
Details
linux-gate / gate-linux (pull_request) Failing after 28m19s
Details
07666d7d0f 
Generated with [Devin](https://devin.ai)

Co-Authored-By: Devin <158243242+devin-ai-integration[bot]@users.noreply.github.com>
brenno merged commit 7e5ef113b7 into main 2026-08-09 20:56:17 +00:00
Sign in to join this conversation.
Reviewers
No reviewers
Labels
Clear labels   
accepted
Assessed and will be built

  
bug
Something is broken

  
declined
Assessed and will not be built

  
docs
Documentation only

  
duplicate
Already tracked elsewhere

  
enhancement
New feature or improvement request

  
good first issue
Small, self-contained, and a good place to start

  
in-progress
Someone is working on this right now. Do not start it in parallel.

  
needs-info
Waiting for the reporter

  
privacy
Personal data can leak. Handled before anything else.

  
security
A weakness someone could use. Handled before anything else.

  
triage
Awaiting assessment

No labels
accepted
bug
declined
docs
duplicate
enhancement
good first issue
in-progress
needs-info
privacy
security
triage
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
1 participant
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set

Reference
LibreKAT/Ocideck!1438
No description provided.