marcandClaude Opus 5
8f294e15db
Marcs BentoPDF-Image (ghcr.io/alam00000/bentopdf-simple) schickt eine strenge CSP — mit dem Image von Docker Hub, an dem ich zuerst geprueft hatte, war das nicht zu sehen. Statt fremde Kopfzeilen umzuschreiben, reicht der Einsetzer jetzt auch /honeybar/ und die zwei Abfragen der Leiste unter seiner eigenen Adresse durch. Damit ist fuer den Browser alles derselbe Ursprung: CSP unangetastet, kein CORS, kein COEP, und der Schluessel bleibt auf dem Server. Durchgereicht wird nur /api/apps und /api/weather, nur lesend. Ein pauschales /api/ haette die ganze Schnittstelle unter die Adresse der App gehaengt — beim Ausprobieren hat meine eigene Schreibprobe prompt die App-Liste geleert. Das Binden auf 127.0.0.1 ist raus: Es passt nur, wenn der Proxy auf demselben Wirt im Host-Netz laeuft, und nicht fuer Marcs Aufbau. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
103 lines
4.5 KiB
YAML
103 lines
4.5 KiB
YAML
# ─────────────────────────────────────────────────────────────────────────────
|
|
# BentoPDF mit HoneyOS-Leiste — alles über den eigenen Ursprung.
|
|
#
|
|
# Pangolin → leiste → bentopdf
|
|
# ↘ honeyos (nur /honeybar/ und zwei Abfragen)
|
|
#
|
|
# Der Kniff: Die Leiste wird nicht von honeyos.… geladen, sondern über die
|
|
# Adresse der App selbst durchgereicht. Für den Browser ist sie damit eigener
|
|
# Ursprung — und alle drei Hürden fallen auf einmal weg:
|
|
#
|
|
# · die CSP der App (BentoPDF erlaubt 'self', mehr braucht es nicht)
|
|
# · CORS (keine fremde Anfrage mehr)
|
|
# · COEP (kein fremdes Skript mehr)
|
|
#
|
|
# Ausserdem bleibt HONEYOS_APPS_KEY auf dem Server: Der nginx setzt ihn ein,
|
|
# im Quelltext der Seite steht er nicht.
|
|
#
|
|
# docker compose up -d
|
|
# → in Pangolin die Ressource auf leiste:80 zeigen lassen,
|
|
# und in HoneyOS BentoPDF als App eintragen (id: bentopdf, URL: die
|
|
# öffentliche Adresse, exakt so, wie du sie im Browser aufrufst).
|
|
# ─────────────────────────────────────────────────────────────────────────────
|
|
services:
|
|
bentopdf:
|
|
image: ghcr.io/alam00000/bentopdf-simple:latest
|
|
container_name: bentopdf
|
|
restart: unless-stopped
|
|
# Kein ports: nötig — erreichbar ist nur noch der Einsetzer davor.
|
|
# (Zum direkten Nachsehen ohne Leiste ruhig eins lassen.)
|
|
networks: [honeybar]
|
|
|
|
leiste:
|
|
image: nginx:alpine
|
|
container_name: bentopdf-leiste
|
|
restart: unless-stopped
|
|
depends_on: [bentopdf]
|
|
ports:
|
|
# Auf welcher Adresse Pangolin die App abholt. 127.0.0.1 nur, wenn
|
|
# Pangolin auf demselben Wirt im Host-Netz läuft — hängt es in einem
|
|
# eigenen Behälter oder auf einer anderen Maschine, kommt es dort nicht
|
|
# hin. Am saubersten: kein ports:, und Pangolin (bzw. sein Newt) tritt
|
|
# dem Netz `honeybar` bei und spricht `leiste:80` direkt an.
|
|
- "${LEISTE_PORT:-8185}:80"
|
|
configs:
|
|
- source: leiste
|
|
target: /etc/nginx/conf.d/default.conf
|
|
networks: [honeybar]
|
|
|
|
configs:
|
|
leiste:
|
|
# `$$` ist hier ein einfaches `$` für nginx. Ein einzelnes `$` setzt
|
|
# dagegen Compose ein — genau das ist bei ${HONEYOS_APPS_KEY} gewollt:
|
|
# der Schlüssel kommt aus der .env und landet nur in der Konfiguration
|
|
# des nginx, nie im Quelltext der Seite. (nginx selbst löst keine
|
|
# Umgebungsvariablen auf; stünde dort $${…}, ginge die Zeichenkette
|
|
# wörtlich als Schlüssel hinaus.)
|
|
content: |
|
|
server {
|
|
listen 80;
|
|
resolver 127.0.0.11 valid=30s ipv6=off;
|
|
|
|
# 1. Die Leiste selbst, durchgereicht über diesen Ursprung.
|
|
location /honeybar/ {
|
|
proxy_pass http://honeyos:8080/honeybar/;
|
|
}
|
|
|
|
# 2. Ihre zwei Abfragen — einzeln benannt und nur lesend. Ein
|
|
# durchgereichtes /api/ hinge die ganze HoneyOS-Schnittstelle
|
|
# unter die Adresse dieser App.
|
|
location = /honeyos-api/apps {
|
|
limit_except GET { deny all; }
|
|
proxy_pass http://honeyos:8080/api/apps;
|
|
proxy_set_header X-HoneyOS-Key "${HONEYOS_APPS_KEY}";
|
|
}
|
|
location = /honeyos-api/weather {
|
|
limit_except GET { deny all; }
|
|
proxy_pass http://honeyos:8080/api/weather;
|
|
proxy_set_header X-HoneyOS-Key "${HONEYOS_APPS_KEY}";
|
|
}
|
|
|
|
# 3. Die App selbst, mit eingesetzter Zeile.
|
|
location / {
|
|
proxy_pass http://bentopdf:8080;
|
|
proxy_set_header Host $$host;
|
|
proxy_set_header X-Forwarded-For $$proxy_add_x_forwarded_for;
|
|
proxy_set_header X-Forwarded-Proto $$scheme;
|
|
proxy_http_version 1.1;
|
|
|
|
# Unkomprimiert anfordern — in einem gzip-Strom ist nichts zu ersetzen.
|
|
proxy_set_header Accept-Encoding "";
|
|
|
|
# sub_filter_types braucht es nicht: text/html ist voreingestellt,
|
|
# und doppelt genannt warnt nginx beim Start.
|
|
sub_filter_once on;
|
|
sub_filter '</head>'
|
|
'<script defer src="/honeybar/honeybar.js" data-app="bentopdf" data-apps="/honeyos-api/apps" data-home="https://honeyos.duckdns.org/"></script></head>';
|
|
}
|
|
}
|
|
|
|
networks:
|
|
honeybar:
|
|
external: true
|