sandrodachandClaude Opus 5.5
b2ecda9896
MindSift CI & Docker Release / Build, Test in Container & Push (push) Successful in 1m48s
safeHref lets only http, https and mailto become links (Markdown viewer, outliner, legal links); javascript: and friends show as text. A middleware sets a Content-Security-Policy (scripts only from MindSift, no framing, connections only to this server), X-Frame-Options, nosniff, Referrer-Policy and a Permissions-Policy. The two inline scripts of index.html moved to files so script-src stays 'self'. The second inline script also deleted every cache on each page load, which undermined the offline start; it is gone. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
1.6 KiB
1.6 KiB
Changelog
Alle nennenswerten Änderungen an MindSift stehen in dieser Datei.
Das Format folgt Keep a Changelog, die Versionsnummern folgen ab v0.6.0 Semantic Versioning. Solange die Hauptversion 0 ist, können sich API und Datenformate mit jeder Minor-Version ändern; solche Änderungen stehen unter „Changed“ bzw. „Removed“ und sind mit Achtung markiert.
Unreleased
Security
- Links in Notizen, Aufgaben-Notizen und Impressum öffnen nur noch
http,httpsundmailto;javascript:und ähnliche Links erscheinen als Text. Vorher konnte ein Bearbeiter einer geteilten Aufgabenliste über einen präparierten Link Code im Browser anderer ausführen (FLAW-28). - Sicherheits-Header für alle Antworten: Content-Security-Policy (Scripts nur von MindSift selbst, keine Einbettung in fremde Seiten),
X-Frame-Options,X-Content-Type-Options,Referrer-Policy,Permissions-Policy(FLAW-29).
Fixed
- Der Offline-Start der App funktioniert zuverlässig: Ein altes Script in der Startseite hat bei jedem Aufruf alle Caches des Service Workers gelöscht.
Changed
- Versionsnummern folgen jetzt Semantic Versioning mit dreiteiligen Tags (
v0.6.0); die Kopfzeile zeigt die volle Version (v0.6.0-devfür Entwicklungsstände). Vorabversionen wiev1.0.0-rc.1verschieben das Image:stablenicht. - Das Mengenfeld in Listen öffnet auf dem Handy die Zahlentastatur.