fix(console): PublicFormsPage 的 redirect 授权门改问契约,越契约值在保存时刻被拒 (#4990)

[yinlianghui]

Fixes#4990

问题

apps/console/src/pages/developer/PublicFormsPage.tsx 的 saveEdit redirect 分支只验一件事 —— 字段非空,然后 client.meta.saveItem('view', …)。

objectstack#7496(2026-08-11 裁定,objectstack#7657 落 spec,本仓 @objectstack/spec 17.0.0 GA pin 已覆盖)把 submitBehavior.url 裁为仅相对路径,并对七族越契约值各给一句 author-facing 处方:空值、前导 scheme(https:,同样地 javascript: / data:)、前导 //、反斜杠、空白或 C0/DEL 控制字符、非良构 token 的花括号形状、不以 / 开头。

这道门只执行了其中第一族。管理员可以输入 https://example.com/thanks 或 javascript:alert(1),得不到任何提示 —— 而这个界面自己刚教过他这个值可以用:字段是 type="url"(该 type 自己认的「合法」恰是本键拒绝的绝对 URL),占位符写着 https://example.com/thanks。「declared = enforced」在这里是反的:授权门比它所授权的 schema 更宽松。

修法:复用同一次解析,不写第二份规则

按卡面形状,判定复用 #4992(#4190 消费侧)落地的那条 spec-schema 解析路径:

• apps/console/src/components/submitRedirect.ts 把其中的 shape 判定抽出为新导出 checkSubmitRedirectUrl(url),返回 schema 接受后的值或 spec 自己那句 refusal;resolveSubmitRedirect(消费侧)改为调用它再做插值替换 —— 行为不变,少一份代码。
• 授权门在保存时刻调用它。越契约就把 spec 的处方渲染在字段旁(role="alert" + aria-invalid + aria-describedby),并且不保存;输入即清除,作者在他想提交的那一刻被纠正一次,而不是逐键被追问。
• 保存的是 schema 回读的值,所以授权门与渲染侧不可能对同一个目的地有两种意见 —— 它们是同一次解析。

规则没有在对话框里重写一份:镜像拷贝在 spec 改动前的每次取值比较里都是绿的,正是 scripts/check-spec-symbol-derivation.mjs 要劝退的形状(objectstack#4115、objectui#4074/#4588/#4592 各付过一次)。裁定日后放宽,跟着 pin 走,这里不需要改。

附带两处:本地的 Redirect URL is required 去掉(空值本就是七族之一,一并走契约,作者读到的是「目的地长什么样」而不是「必填」);字段改回纯文本输入、占位符 /thanks、并给出规则提示 —— 它不该再教错值。

边界(照卡面办)

• thank-you 的 title / message不加验证:spec 里两者就是自由串,没有可供门陈述的契约。已用一个测试把这条边界钉住,免得后来人顺手扩大。
• 只动授权门,消费侧 fix(console): FormPage 的 redirect 按 os#7496 裁定当 in-shell 相对路由,越契约目标响亮拒绝 (#4190) #4992 已收口。

服务端到底拒不拒(卡面的开放点,已测)

拒。 只读判定,未起任何服务:packages/rest 的 PUT /meta/:type/:name 委托 protocol.saveMetaItem,其 spec-conformance gate 走 resolveOverlaySchema → getMetadataTypeSchema('view')(@objectstack/spec/kernel,与 console 打包的同一个 17.0.0 GA pin)。用 PublicFormsPage.saveEdit 实际构造的 body 直接跑这条 gate:

"/thanks" => ACCEPTS -> would persist
"/t/{{record.id}}" => ACCEPTS -> would persist
"https://example.com/thanks" => 422 invalid_metadata on: ["submitBehavior.url"]
"javascript:alert(1)" => 422 invalid_metadata on: ["submitBehavior.url"]
"//evil.example/x" => 422 invalid_metadata on: ["submitBehavior.url"]
"thanks" => 422 invalid_metadata on: ["submitBehavior.url"]
"" => 422 invalid_metadata on: ["submitBehavior.url"]

所以卡面「either way」里成立的是前一支:元数据语料不会积累这些值,本卡收口的是错误路径而非静默入库。这不削弱修法,反而是它的论据 —— 纠正现在出现在管理员能改的字段里,而不是一次失败的往返;而且门与服务端从构造上就同判,因为是同一个 schema。

未测的部分如实标注:这是在 gate 函数层面测的(服务端路由实际调用的那个函数与注册表),不是活的 HTTP 往返;某个部署的 spec 版本若与 GA pin 不同,结论随之不同。另有一处顺带观察但未能证实,故不据此立 issue:上面的 probe 必须补 viewKind 才能让 body 落到 formOverlay 分支,缺它时同一条 gate 会对本页任何保存都 422(与 url 无关)—— 但本页保存的是 getItems 读回的 it.spec,其真实形状要有真实存量数据才能判定,我没有。

验证

• pnpm exec vitest run apps/console/ → 54 files / 647 tests 全绿(含新增 15 + 扩充 20)。
• 仓根 pnpm exec turbo run type-check --concurrency=2 → 81/81 successful。
• node scripts/check-control-bytes.mjs → OK(4465 files);check-spec-symbol-derivation.mjs / 两个 changeset 门 → OK。改动文件 eslint:0 error,warning 数与基线逐一相同(14 → 14,均为既有 any / useEffect)。
• 测试用例里的控制字符一律写作转义序列(反斜杠 + u0009 那种写法),并在越门之外自扫 [\x00-\x08\x0b\x0c\x0e-\x1f](stack 渲染器读一个从未声明的 spacing 键,catalog 里 135 个节点照着它写 #4890 形态)。本 PR 正文自身也栽过一次:初版这一行里我把制表符写成了真实字节,读回存档时发现并改掉 —— 正是「写规则时把字节物化」的那个形状。

反向验证(先书面预判,再变异实测)

预判写在两个测试文件的 docblock 里,commit 后变异、git checkout -- 还原(未用 stash):

变异	预判	实测
门退回只验非空	页面 11 红(七族 8 + 空值 + aria-invalid + 清除),且每例先死在「没有 alert 渲染」;submitRedirect.test.ts 全绿(模块未动)	完全一致:Tests 11 failed | 58 passed,首个失败即 Unable to find role="alert"
保留解析、改用本地文案	只有文案来源那一条断言红 9 例(七族 8 + 空值),saveItem 那半仍绿;aria / 清除 / 合法值 / thank-you 全绿	完全一致:Tests 9 failed | 60 passed,失败点在 :158 toHaveTextContent

第二个变异是本卡真正要防的那件事的窄探测器:一份镜像拷贝会让 saveItem 那半照旧通过,只在文案来源上失守 —— 所以断言比的是 schema 现场解析出来的那句话,而不是我抄进测试的字符串;spec 改词,测试照绿,拷贝规则,测试变红。

[github-actions]

✅ Console Performance Budget

Metric	Value	Budget
Main entry (gzip)	25.3 KB	350 KB
Entry file	index-D06VKeDf.js	—
Status	PASS	—

---

📦 Bundle Size Report

Package	Size	Gzipped
app-shell (index.js)	9.56KB	3.59KB
app-shell (runtime-config.js)	7.42KB	2.32KB
app-shell (types.js)	0.01KB	0.04KB
app-shell (urlParams.js)	8.92KB	3.41KB
auth (AuthContext.js)	0.31KB	0.24KB
auth (AuthGuard.js)	1.17KB	0.53KB
auth (AuthProvider.js)	25.13KB	5.40KB
auth (AuthShell.js)	3.49KB	1.40KB
auth (ForgotPasswordForm.js)	12.21KB	3.45KB
auth (LoginForm.js)	18.13KB	5.39KB
auth (PreviewBanner.js)	0.90KB	0.50KB
auth (RegisterForm.js)	6.64KB	2.21KB
auth (SocialSignInButtons.js)	9.60KB	3.89KB
auth (UserMenu.js)	3.40KB	1.22KB
auth (auth-gate-events.js)	1.29KB	0.66KB
auth (authStyles.js)	5.04KB	1.72KB
auth (createAuthClient.js)	40.21KB	10.79KB
auth (createAuthenticatedFetch.js)	6.34KB	2.43KB
auth (index.js)	2.71KB	1.22KB
auth (invitation-status.js)	1.22KB	0.70KB
auth (org-roles.js)	6.66KB	2.78KB
auth (phone-identifier.js)	1.11KB	0.66KB
auth (types.js)	0.59KB	0.35KB
auth (useAuth.js)	5.02KB	0.88KB
auth (useIsWorkspaceAdmin.js)	1.61KB	0.85KB
collaboration (CommentThread.js)	26.07KB	7.56KB
collaboration (LiveCursors.js)	3.17KB	1.27KB
collaboration (PresenceAvatars.js)	6.49KB	2.64KB
collaboration (PresenceProvider.js)	2.79KB	1.13KB
collaboration (index.js)	1.65KB	0.73KB
collaboration (useCollaborationTranslation.js)	6.05KB	2.52KB
collaboration (useCommentSearch.js)	1.98KB	0.88KB
collaboration (useConflictResolution.js)	7.75KB	1.86KB
collaboration (useMentionNotifications.js)	1.81KB	0.68KB
collaboration (usePresence.js)	6.33KB	1.84KB
collaboration (useRealtimeSubscription.js)	7.91KB	2.01KB
components (index.js)	498.86KB	111.27KB
core (index.js)	4.11KB	1.62KB
create-plugin (index.js)	10.08KB	3.26KB
data-objectstack (index.js)	159.03KB	44.08KB
fields (index.js)	233.27KB	58.22KB
i18n (LocalizationContext.js)	1.76KB	0.96KB
i18n (currency.js)	1.22KB	0.64KB
i18n (i18n.js)	4.28KB	1.75KB
i18n (index.js)	3.35KB	1.38KB
i18n (pickLocalized.js)	3.69KB	1.73KB
i18n (provider.js)	23.12KB	7.62KB
i18n (useDisplayLocale.js)	2.84KB	1.45KB
i18n (useObjectLabel.js)	27.59KB	6.63KB
i18n (useSafeTranslation.js)	7.77KB	3.13KB
layout (index.js)	39.16KB	10.97KB
mobile (MobileProvider.js)	0.92KB	0.49KB
mobile (ResponsiveContainer.js)	0.94KB	0.38KB
mobile (breakpoints.js)	1.51KB	0.70KB
mobile (createOfflineDataSource.js)	5.61KB	1.74KB
mobile (index.js)	1.50KB	0.62KB
mobile (offlineQueue.js)	3.91KB	1.35KB
mobile (pwa.js)	0.97KB	0.49KB
mobile (serviceWorker.js)	1.48KB	0.62KB
mobile (serviceWorkerSource.js)	3.41KB	1.48KB
mobile (useBreakpoint.js)	1.54KB	0.65KB
mobile (useGesture.js)	6.96KB	1.98KB
mobile (useOfflineSync.js)	1.99KB	0.72KB
mobile (usePullToRefresh.js)	2.53KB	0.85KB
mobile (useResponsive.js)	0.71KB	0.42KB
mobile (useResponsiveConfig.js)	1.36KB	0.63KB
mobile (useSpecGesture.js)	4.32KB	1.64KB
mobile (useTouchTarget.js)	1.01KB	0.54KB
permissions (MePermissionsProvider.js)	9.35KB	3.31KB
permissions (PermissionContext.js)	0.31KB	0.25KB
permissions (PermissionGuard.js)	0.89KB	0.45KB
permissions (PermissionProvider.js)	4.42KB	1.42KB
permissions (evaluator.js)	5.12KB	1.74KB
permissions (index.js)	0.91KB	0.41KB
permissions (store.js)	0.91KB	0.42KB
permissions (useFieldPermissions.js)	1.28KB	0.52KB
permissions (usePermissions.js)	1.81KB	0.83KB
plugin-ai (index.js)	15.75KB	3.80KB
plugin-calendar (index.js)	46.62KB	12.83KB
plugin-charts (index.js)	64.75KB	18.37KB
plugin-chatbot (index.js)	181.21KB	43.14KB
plugin-dashboard (index.js)	127.85KB	32.73KB
plugin-designer (index.js)	212.39KB	42.83KB
plugin-detail (index.js)	240.05KB	60.05KB
plugin-editor (index.js)	2.46KB	1.10KB
plugin-form (index.js)	120.42KB	29.03KB
plugin-gantt (index.js)	164.10KB	39.87KB
plugin-grid (index.js)	197.61KB	53.03KB
plugin-kanban (index.js)	52.72KB	14.54KB
plugin-list (index.js)	111.22KB	26.98KB
plugin-map (index.js)	18.72KB	6.09KB
plugin-markdown (index.js)	13.72KB	4.69KB
plugin-report (index.js)	41.97KB	11.33KB
plugin-timeline (index.js)	26.68KB	7.66KB
plugin-tree (index.js)	8.50KB	2.88KB
plugin-view (index.js)	83.81KB	20.49KB
providers (DataSourceProvider.js)	0.75KB	0.39KB
providers (MetadataProvider.js)	1.37KB	0.59KB
providers (ThemeProvider.js)	1.90KB	0.85KB
providers (UploadProvider.js)	11.66KB	3.50KB
providers (index.js)	0.44KB	0.22KB
providers (types.js)	0.01KB	0.04KB
react-runtime (index.js)	5.62KB	2.34KB
react (LazyPluginLoader.js)	3.77KB	1.33KB
react (SchemaRenderer.js)	27.53KB	9.41KB
react (data-invalidation.js)	5.05KB	2.08KB
react (index.js)	1.28KB	0.68KB
react (schema-input.js)	1.45KB	0.83KB
react (spec-input.js)	0.20KB	0.18KB
sdui-parser (codegen.js)	5.41KB	2.34KB
sdui-parser (index.js)	4.77KB	2.16KB
sdui-parser (input-type.js)	2.84KB	1.40KB
sdui-parser (parse.js)	10.76KB	3.17KB
sdui-parser (provenance.js)	3.66KB	1.82KB
sdui-parser (types.js)	0.29KB	0.24KB
sdui-parser (validate.js)	6.92KB	2.40KB
types (ai.js)	0.20KB	0.17KB
types (api-types.js)	0.20KB	0.18KB
types (app.js)	2.87KB	0.99KB
types (base.js)	0.20KB	0.18KB
types (blocks.js)	0.20KB	0.18KB
types (complex.js)	0.20KB	0.18KB
types (crud.js)	0.20KB	0.18KB
types (dashboard-filter-alias.js)	6.23KB	2.74KB
types (data-display.js)	0.20KB	0.18KB
types (data-protocol.js)	0.20KB	0.19KB
types (data.js)	0.20KB	0.18KB
types (designer.js)	1.87KB	0.85KB
types (disclosure.js)	0.20KB	0.18KB
types (error-code.js)	1.54KB	0.88KB
types (feedback.js)	0.20KB	0.18KB
types (field-types.js)	0.20KB	0.18KB
types (form.js)	0.20KB	0.18KB
types (http-retry.js)	4.32KB	2.02KB
types (index.js)	3.05KB	1.52KB
types (layout.js)	0.20KB	0.18KB
types (managed-by.js)	0.19KB	0.18KB
types (mobile.js)	2.59KB	1.31KB
types (navigation.js)	0.20KB	0.18KB
types (objectql.js)	0.20KB	0.18KB
types (overlay.js)	0.20KB	0.18KB
types (permissions.js)	0.20KB	0.18KB
types (plugin-scope.js)	0.20KB	0.18KB
types (record-components.js)	0.20KB	0.19KB
types (record-semantics.js)	1.28KB	0.67KB
types (registry.js)	0.20KB	0.18KB
types (reports.js)	0.20KB	0.18KB
types (spec-report.js)	5.05KB	1.93KB
types (system-fields.js)	3.33KB	1.54KB
types (theme.js)	0.20KB	0.18KB
types (ui-action.js)	3.40KB	1.71KB
types (views.js)	0.20KB	0.18KB
types (widget.js)	0.20KB	0.18KB

Size Limits

• ✅ Core packages should be < 50KB gzipped
• ✅ Component packages should be < 100KB gzipped
• ⚠️ Plugin packages should be < 150KB gzipped

[yinlianghui]

PM 验收 ✅ ACCEPT(#4990,批次 20)

实物核验(merge-base 85fdb0612,已核 a34c0b299/#4992 为其祖先):5 files,+471/−42 —— 修法按卡面「复用不复述」:checkSubmitRedirectUrl 从 #4992 的 FormViewSchema 解析里抽出(全程恰好一份解析),授权门保存时刻拒绝并把 spec 自己的处方文案渲染在字段旁(role=alert + aria 三件);顺手修掉了字段主动教错值的形状(type="url" + 绝对地址 placeholder → 纯文本 + /thanks + 规则提示);thank-you 自由文本边界按卡面不验并加钉防后人误扩。模型标识 msg/diff 双 0;releases/ 零触碰;changeset 按 #4190 console-only 先例 patch。

CI 亲读:20/20 check runs completed,零失败(两项 path-filter skipped 计绿)。

卡面开放点的实测回答(加分项):服务端确实拒绝该保存 —— 只读追到 saveMetaItem 的 spec-conformance 门,对门口构造的同一批值跑同一 schema,七族各 422 invalid_metadata 落在 submitBehavior.url 路径。卡面「either way」落到第一支:本卡修的是糟糕的错误路径而非静默入库 —— 修复因此更强(纠正落在管理员能改的字段上,门与服务端因同一 schema 而构造性一致)。未测的边界(活 HTTP 往返、非 GA pin 部署)如实写明。

反向验证读数:两向精确命中;变异 2(拒绝换本地文案)是承重探测器 —— 手写镜像会让拦保存半边继续绿、只红在文案出处,这正是断言对活 schema 解析比对而非抄字符串的理由。控制字节纪律两次自伤自纠(写控制字符测试时物化真实 tab),并点名 check-control-bytes 的 0x09 盲区 —— 只有越门自扫抓到,记账有价值。一条刻意不立的观察(viewKind 分支形状需真实存量数据佐证,立卡即种前提)记在报告与 PR 内 —— 不为立卡而立卡,处置正确。#4989 撞车由查重拦下未重复立卡。

undraft + auto-merge(squash)。

---

Generated by Claude Code