[V0.8.2] WP-B1: Boundary-Validation für preferred_browser (#47) #52

Activity

1. Toqsick

   added

   gate:testGate: automatisierte Tests müssen grün seinGate: automatisierte Tests müssen grün sein

   audit:security/injection

   on Sep 15, 2026
2. Toqsick commented on Oct 23, 2026

   

   Toqsick

   on Oct 23, 2026 – with MiniMax Code App

   OwnerAuthor

   More actions

   Abnahme — erledigt (WP-B1)

   Work-Package B1 ist umgesetzt. Umsetzung in main als add73e3 (PR #118, Squash); Original-Branch-Commits 388811d (XDG-Stufe) und b8ace20 (Allowlist-Validierung) auf dem superseded Branch hardening/0.8.x-browser-xdg.

   Befund aus diesem Paket: _configuredBrowser() las den Config-Key ohne Validierung, detectBrowser() stellte den Wert der kKnownBrowsers-Allowlist voran, und als Gate diente nur _which(bin) — das akzeptiert absolute Pfade.

   Fix: trim, Allowlist-Membership (kKnownBrowsers), / ablehnen; null → sauberer Fallback. Umsetzung in sanitizePreferredBrowser() (lib/services/app_launcher.dart:133-138), angewendet an beiden Aufrufstellen (:119, :177).

   Die vier verlangten Config-Pfad-Tests — test/app_launcher_test.dart:251-267: validierter Wert (:252-254), trailing-space-Value (:256-258), nicht-allowlisteter Binary-Name (:260-263), Pfad-Value (:265-267).

   Globale CI-Gates (gelten für jedes Work-Paket), am 2026-10-23 gegen add73e3 mit echten Exitcodes: check-versions.sh OK · dart format --set-exit-if-changed lib test 123 Dateien 0 geändert · flutter analyze 0 Findings · flutter test 223 Tests grün · additional/python-Unittests 58 Tests grün. Checkliste im Fixplan abgehakt: security-fixplan-42-50.md.

   Commit: im Squash add73e3 enthalten; Original-Commit-Nachricht fix(launcher): validate preferred_browser against the known-browsers allowlist bzw. als Teil des V0.8.2-Launcher-Commits — so vom Issue zugelassen.

   Nachweis: docs/handoff/v0.8.2-xdg-browser-abschluss.md — folgt mit PR #154.
3. Toqsick

   closed this as completedon Oct 23, 2026