feat(pds): Einladungscodes für createAccount

Die Instanz soll öffentlich erreichbar werden. createAccount hatte bis
jetzt keinerlei Schranke: kein Code, kein Rate-Limit, describeServer
meldete invite_code_required hartkodiert false. Jeder hätte beliebig viele
Konten anlegen können, jedes mit eigenem Repo, Blöcken und
Firehose-Events.

Zwei Tabellen: invite_codes trägt Zähler und Sperre, invite_code_uses
protokolliert, welcher DID welchen Code eingelöst hat — ein Code kann
mehrere Konten wert sein, also ist "wer hat ihn benutzt" eine Menge. Die
DID hat bewusst keinen Fremdschlüssel: das Protokoll soll das Konto
überleben.

Der Kern ist das Einlösen ohne Rennen. Geprüft wird nicht vorher, sondern
im Schreiben selbst:

  UPDATE invite_codes SET used_count = used_count + 1
   WHERE code = $1 AND NOT disabled AND used_count < max_uses
  RETURNING used_count, max_uses

Der Verlierer zweier gleichzeitiger Registrierungen blockiert auf der
Zeilensperre, liest danach die committete Zeile neu, wertet die
WHERE-Klausel erneut aus, trifft nichts und bekommt 400. Ein
Lesen-dann-Schreiben hätte beide durchgelassen — ich habe genau das
probeweise eingebaut, woraufhin die Nebenläufigkeitstests umfielen
("a one-use code let 5 concurrent registrations through").

Das Einlösen ist die erste Anweisung in der bestehenden Transaktion von
create_account: die Zeilensperre hält über die Konto-Inserts, und ein
Rollback gibt den Code wieder frei. Wer ein Handle-Rennen verliert,
verliert nicht auch noch seine Einladung.

Alle Fehlerfälle — fehlend, leer, unbekannt, gesperrt, aufgebraucht —
liefern dieselbe Meldung, damit der unauthentifizierte Endpoint kein
Orakel zum Abtasten des Code-Raums wird.

Codes erzeugt das Binary selbst, statt dafür einen Endpoint zu öffnen:
`pds-server invite create --count 5 --uses 1`, dazu list und disable.

PDS_INVITE_REQUIRED steht auf false per Default — sonst brechen die
Integrationstests und jede Dev-Instanz. Der Server warnt beim Start
deutlich, solange es aus ist, und describeServer meldet jetzt den
tatsächlichen Wert.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_013HC9HLrUU1LNwkzp8nkDLX

This commit is contained in:

tomdebone

2026-09-10 21:06:45 +02:00

co-authored by

Claude Opus 5

parent b58cb75cfe

commit f04d63dd7b

9 changed files with 1913 additions and 5 deletions

									
										.env.example
									
		+8
		
												View File
												
				@@ -61,6 +61,14 @@ S3_BUCKET_APPVIEW=maarcadetweet-appview

				PLC_DIRECTORY_URL=https://plc.directory

				# PLC_DIRECTORY_URL=http://127.0.0.1:2582

				# --- Registrierung ---

				# Verlangt createAccount einen Einladungscode? Default false, damit Dev-

				# Instanzen und die Integrationstests frei Konten anlegen können — eine

				# öffentlich erreichbare PDS gehört auf true gestellt, sonst kann jeder

				# beliebig viele Repos anlegen. Der Server warnt beim Start, solange es

				# aus ist. Codes erzeugen: `pds-server invite create --count 5 --uses 1`

				PDS_INVITE_REQUIRED=false

				# --- AppView ingest auth (optional, dev ok if unset) ---

				# Wenn gesetzt, muss die PDS denselben Wert als Header

				# `X-Ingest-Secret` mitschicken; ist er nicht gesetzt, nimmt