Datenschutz: Fehlerberichte lassen sich abschalten
Uebertragung eines Befunds aus dem Security-Audit der alten Melo-App (21.08.2026) in die neue Codebasis. Ausgangslage hier war eine ANDERE als dort: LoggerService lud jeden Fehler unbedingt zu logs.baka-net.de hoch, es gab ueberhaupt keinen Schalter. In der alten App existierte er zwar, wirkte aber nicht ueber einen Neustart hinaus. Neu: - Schalter "Fehlerberichte senden" in den Einstellungen unter Datenschutz. - Sperre an der einzigen Stelle, durch die jeder Upload laeuft. Lokales debugPrint bleibt, aber nichts verlaesst das Geraet; der Puffer wird geleert, damit er nicht unbegrenzt waechst. - Die Entscheidung ueberlebt den Neustart: AppSettings speichert sie und reicht sie an den Logger durch, UND LoggerService liest sie beim Start zusaetzlich selbst - main() startet den Logger vor den Einstellungen, und schon dieses Zeitfenster darf bei Widerspruch nichts senden. - LoggerService bekam einen injizierbaren http.Client (Muster wie BakaAuth), damit sich belegen laesst, dass bei Opt-out KEIN Request rausgeht. Nicht uebernommen: der zweite Befund (Logout liess Zugangsdaten zurueck) trifft hier nicht zu. BakaAuth.abmelden() loescht genau die Schluessel, die anmelden() schreibt, und Navidrome hat mit loescheZugangsdaten() ein eigenes, vollstaendiges Trennen. Der alte Fehler - Logout raeumt tote Schluessel ab, waehrend die echten liegen bleiben - existiert in dieser Codebasis nicht. Standard bleibt bewusst "an", damit sich fuer bestehende Nutzer nichts ungefragt aendert. Opt-in waere datenschutzfreundlicher, ist aber eine Produktentscheidung. Tests: 304 gruen (vorher 295), 9 neue. Alle drei tragenden Stellen per Mutationsprobe geprueft. flutter analyze: keine Befunde. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01QbuWT267W8rFDsaavANuEn
This commit is contained in:
Hermes (Server)
co-authored by
Claude Opus 5
Claude Opus 5
parent
2df85e650e
commit
239aae3ea3
@@ -2,6 +2,7 @@ import 'package:flutter/foundation.dart';
|
||||
import 'package:http/http.dart' as http;
|
||||
import 'dart:convert';
|
||||
import 'dart:io';
|
||||
import 'package:shared_preferences/shared_preferences.dart';
|
||||
|
||||
class LogEntry {
|
||||
final String level; // DEBUG, INFO, WARNING, ERROR
|
||||
@@ -32,12 +33,36 @@ class LogEntry {
|
||||
|
||||
/// Centralized Logging Service mit Auto-Upload zu Server
|
||||
class LoggerService extends ChangeNotifier {
|
||||
/// [client] nur für Tests: erlaubt zu prüfen, dass bei Widerspruch des
|
||||
/// Nutzers wirklich KEIN Request das Gerät verlässt.
|
||||
LoggerService({http.Client? client}) : _client = client ?? http.Client();
|
||||
|
||||
final http.Client _client;
|
||||
|
||||
static const String _logServerUrl = 'https://logs.baka-net.de/api/logs';
|
||||
static const int _batchSize = 5;
|
||||
|
||||
/// Schlüssel der Diagnose-Entscheidung in den SharedPreferences.
|
||||
/// Liegt hier und nicht in AppSettings, damit der Logger ihn ohne
|
||||
/// Rückwärts-Abhängigkeit selbst lesen kann.
|
||||
static const String diagnoseKey = 'diagnose_daten';
|
||||
|
||||
final List<LogEntry> _logs = [];
|
||||
late final String _deviceModel;
|
||||
bool _initialized = false;
|
||||
bool _sendeDiagnosedaten = true;
|
||||
|
||||
/// Steuert, ob Logs den Server erreichen. Lokales `debugPrint` läuft
|
||||
/// unabhängig davon weiter — nur der Versand wird unterbunden.
|
||||
/// [AppSettings] hält den Wert persistent und schiebt Änderungen hierher.
|
||||
bool get sendeDiagnosedaten => _sendeDiagnosedaten;
|
||||
|
||||
set sendeDiagnosedaten(bool wert) {
|
||||
if (_sendeDiagnosedaten == wert) return;
|
||||
_sendeDiagnosedaten = wert;
|
||||
// Bei Widerspruch nichts Aufgestautes zurückbehalten.
|
||||
if (!wert) _logs.clear();
|
||||
}
|
||||
|
||||
Future<void> init() async {
|
||||
if (_initialized) return;
|
||||
@@ -46,6 +71,17 @@ class LoggerService extends ChangeNotifier {
|
||||
_deviceModel = Platform.isAndroid
|
||||
? 'android'
|
||||
: (Platform.isIOS ? 'ios' : Platform.operatingSystem);
|
||||
// Die Einstellung wird hier direkt gelesen und nicht von AppSettings
|
||||
// abgewartet: main() initialisiert den Logger VOR den Einstellungen, und
|
||||
// schon dieses Zeitfenster darf nichts senden, wenn der Nutzer
|
||||
// widersprochen hat.
|
||||
try {
|
||||
final prefs = await SharedPreferences.getInstance();
|
||||
_sendeDiagnosedaten = prefs.getBool(diagnoseKey) ?? true;
|
||||
} catch (_) {
|
||||
// Nicht lesbar: beim bisherigen Verhalten bleiben.
|
||||
}
|
||||
|
||||
_initialized = true;
|
||||
debugPrint('✅ LoggerService initialized for $_deviceModel');
|
||||
}
|
||||
@@ -61,8 +97,10 @@ class LoggerService extends ChangeNotifier {
|
||||
static String scrubText(String? roh) {
|
||||
if (roh == null || roh.isEmpty) return roh ?? '';
|
||||
var s = roh.replaceAllMapped(
|
||||
RegExp(r'\b(user|username|benutzer|pw|pass|passwort|password|token|secret|url|serverurl)=([^\s&]+)',
|
||||
caseSensitive: false),
|
||||
RegExp(
|
||||
r'\b(user|username|benutzer|pw|pass|passwort|password|token|secret|url|serverurl)=([^\s&]+)',
|
||||
caseSensitive: false,
|
||||
),
|
||||
(m) => '${m.group(1)}=<redacted>',
|
||||
);
|
||||
s = s
|
||||
@@ -87,17 +125,22 @@ class LoggerService extends ChangeNotifier {
|
||||
/// bleibt unberührt — die Maskierung greift nur auf dem Versand-Pfad.
|
||||
@visibleForTesting
|
||||
static Map<String, dynamic> sanitizedJson(LogEntry l) => {
|
||||
'level': l.level,
|
||||
'message': scrubText(l.message),
|
||||
'stackTrace':
|
||||
l.stackTrace == null ? null : capFrames(scrubText(l.stackTrace)),
|
||||
'timestamp': l.timestamp.toIso8601String(),
|
||||
'userAgent': l.userAgent,
|
||||
'deviceModel': l.deviceModel,
|
||||
};
|
||||
'level': l.level,
|
||||
'message': scrubText(l.message),
|
||||
'stackTrace': l.stackTrace == null
|
||||
? null
|
||||
: capFrames(scrubText(l.stackTrace)),
|
||||
'timestamp': l.timestamp.toIso8601String(),
|
||||
'userAgent': l.userAgent,
|
||||
'deviceModel': l.deviceModel,
|
||||
};
|
||||
|
||||
/// Logge einen Fehler (wird sofort zum Server geschickt)
|
||||
Future<void> error(String message, [Object? error, StackTrace? stackTrace]) async {
|
||||
Future<void> error(
|
||||
String message, [
|
||||
Object? error,
|
||||
StackTrace? stackTrace,
|
||||
]) async {
|
||||
final entry = LogEntry(
|
||||
level: 'ERROR',
|
||||
message: message,
|
||||
@@ -146,19 +189,29 @@ class LoggerService extends ChangeNotifier {
|
||||
|
||||
/// Hochladen der Logs zum Server
|
||||
Future<void> _uploadLogs() async {
|
||||
// Opt-out des Nutzers: nichts verlässt das Gerät. Der Puffer wird
|
||||
// trotzdem geleert, sonst wüchse er im Dauerbetrieb unbegrenzt.
|
||||
if (!_sendeDiagnosedaten) {
|
||||
_logs.clear();
|
||||
return;
|
||||
}
|
||||
if (_logs.isEmpty) return;
|
||||
try {
|
||||
final logsToUpload = List<LogEntry>.from(_logs);
|
||||
await http.post(
|
||||
Uri.parse(_logServerUrl),
|
||||
headers: {'Content-Type': 'application/json'},
|
||||
body: jsonEncode({
|
||||
'logs': logsToUpload.map(sanitizedJson).toList(),
|
||||
'timestamp': DateTime.now().toIso8601String(),
|
||||
}),
|
||||
).timeout(const Duration(seconds: 10));
|
||||
await _client
|
||||
.post(
|
||||
Uri.parse(_logServerUrl),
|
||||
headers: {'Content-Type': 'application/json'},
|
||||
body: jsonEncode({
|
||||
'logs': logsToUpload.map(sanitizedJson).toList(),
|
||||
'timestamp': DateTime.now().toIso8601String(),
|
||||
}),
|
||||
)
|
||||
.timeout(const Duration(seconds: 10));
|
||||
_logs.clear();
|
||||
debugPrint('✅ Logs uploaded successfully (${logsToUpload.length} entries)');
|
||||
debugPrint(
|
||||
'✅ Logs uploaded successfully (${logsToUpload.length} entries)',
|
||||
);
|
||||
} catch (e) {
|
||||
debugPrint('⚠️ Failed to upload logs: $e');
|
||||
}
|
||||
|
||||
Reference in New Issue
Block a user