Asger Geel Weirsøe
e294be18c7
Build & Deploy / deploy (push) Successful in 5m51s
Images for a post live next to it in src/content/blog/<slug>/ and are referenced as ./<slug>/file.png, so Astro optimises them and resolves the path in the preview build as well. The stamp now also covers the sha256 of every file in that folder: swapping or adding an image after approval fails the build, and so does a folder without an approved post. Posts without images keep their existing stamps. Claude-Session: https://claude.ai/code/session_01JmhJG6JnhXfzNiKv8f2vHu
90 lines
4.1 KiB
JavaScript
90 lines
4.1 KiB
JavaScript
// Spærre før build: intet blogindlæg går live uden at være godkendt.
|
|
//
|
|
// Hvert indlæg i src/content/blog skal bære et `godkendt:`-stempel i frontmatter.
|
|
// Stemplet er en HMAC-SHA256 over filens sti + indhold (uden selve stempel-linjen)
|
|
// + sha256 af hvert billede i indlæggets mappe (src/content/blog/<slug>/),
|
|
// lavet med en nøgle som kun godkendelsestjenesten og denne workflow kender. Et
|
|
// indlæg der er lagt direkte i repoet, eller ændret efter godkendelse, har derfor
|
|
// intet eller et forkert stempel, og så stopper buildet før noget bliver deployet.
|
|
//
|
|
// Udkast hører ikke hjemme her: repoet er offentligt, så `draft: true` ville stadig
|
|
// udgive teksten via git. Udkast ligger i et privat repo indtil de er godkendt.
|
|
//
|
|
// PUBLISH_KEY=<hex> node scripts/verify-approvals.mjs
|
|
import crypto from 'node:crypto';
|
|
import fs from 'node:fs';
|
|
|
|
const DIR = 'src/content/blog';
|
|
const key = process.env.PUBLISH_KEY;
|
|
if (!key) {
|
|
console.error('PUBLISH_KEY mangler; kan ikke verificere godkendelser.');
|
|
process.exit(1);
|
|
}
|
|
|
|
// Skal matche godkendelsestjenesten byte for byte. Et indlæg uden billeder har
|
|
// ingen @asset-linjer, så dets stempel er det samme som før billeder fandtes.
|
|
const canonical = (relPath, text, assets = []) => {
|
|
const lines = text.replace(/\r\n/g, '\n').split('\n');
|
|
if (lines[0] === '---') {
|
|
const end = lines.indexOf('---', 1);
|
|
if (end > 0) {
|
|
for (let i = end - 1; i > 0; i--) if (/^godkendt:/.test(lines[i])) lines.splice(i, 1);
|
|
}
|
|
}
|
|
const tail = assets.map(([p, h]) => `\n@asset ${p} ${h}`).join('');
|
|
return `${relPath}\n${lines.join('\n')}${tail}`;
|
|
};
|
|
|
|
const sha256 = (buf) => crypto.createHash('sha256').update(buf).digest('hex');
|
|
|
|
// Billeder til <slug>.md ligger fladt i mappen <slug>/ ved siden af.
|
|
const assetsFor = (rel) => {
|
|
const dir = rel.replace(/\.mdx?$/, '');
|
|
if (!fs.existsSync(dir)) return [];
|
|
return fs.readdirSync(dir, { withFileTypes: true })
|
|
.map((e) => {
|
|
if (!e.isFile()) throw new Error(`${dir}/${e.name}: undermapper understøttes ikke`);
|
|
const p = `${dir}/${e.name}`;
|
|
return [p, sha256(fs.readFileSync(p))];
|
|
})
|
|
.sort(([a], [b]) => (a < b ? -1 : a > b ? 1 : 0));
|
|
};
|
|
|
|
const stampOf = (text) => {
|
|
const lines = text.replace(/\r\n/g, '\n').split('\n');
|
|
const end = lines[0] === '---' ? lines.indexOf('---', 1) : -1;
|
|
if (end < 0) return { stamp: null, draft: false };
|
|
const fm = lines.slice(1, end);
|
|
const g = fm.find((l) => /^godkendt:/.test(l));
|
|
const draft = fm.some((l) => /^draft:\s*true\s*$/.test(l));
|
|
return { stamp: g ? g.replace(/^godkendt:\s*/, '').replace(/^['"]|['"]$/g, '') : null, draft };
|
|
};
|
|
|
|
const entries = fs.readdirSync(DIR, { withFileTypes: true });
|
|
const files = entries.filter((e) => e.isFile() && /\.mdx?$/.test(e.name)).map((e) => `${DIR}/${e.name}`);
|
|
|
|
let bad = 0;
|
|
// En billedmappe uden et indlæg ved siden af er aldrig blevet godkendt.
|
|
for (const e of entries.filter((e) => e.isDirectory())) {
|
|
if (!files.some((f) => f.replace(/\.mdx?$/, '') === `${DIR}/${e.name}`)) {
|
|
console.error(`✗ ${DIR}/${e.name}/: filer uden et godkendt indlæg`); bad++;
|
|
}
|
|
}
|
|
for (const rel of files) {
|
|
const text = fs.readFileSync(rel, 'utf8');
|
|
const { stamp, draft } = stampOf(text);
|
|
if (draft) { console.error(`✗ ${rel}: udkast (draft: true) må ikke ligge i det offentlige repo`); bad++; continue; }
|
|
if (!stamp) { console.error(`✗ ${rel}: mangler godkendelse`); bad++; continue; }
|
|
let assets;
|
|
try { assets = assetsFor(rel); } catch (err) { console.error(`✗ ${err.message}`); bad++; continue; }
|
|
const want = 'v1:' + crypto.createHmac('sha256', Buffer.from(key, 'hex')).update(canonical(rel, text, assets)).digest('hex');
|
|
const ok = stamp.length === want.length && crypto.timingSafeEqual(Buffer.from(stamp), Buffer.from(want));
|
|
if (!ok) { console.error(`✗ ${rel}: godkendelsen passer ikke til indholdet (ændret efter godkendelse?)`); bad++; continue; }
|
|
console.log(`✓ ${rel}${assets.length ? ` (+${assets.length} billeder)` : ''}`);
|
|
}
|
|
if (bad) {
|
|
console.error(`\n${bad} indlæg er ikke godkendt. Intet bliver udgivet.`);
|
|
process.exit(1);
|
|
}
|
|
console.log(`\nAlle ${files.length} indlæg er godkendt.`);
|