klarbild/tests/mail.test.ts

import { test } from 'node:test';
import assert from 'node:assert/strict';
import { istMail, mailLayout, esc } from '../src/lib/mail.ts';

test('Gültige Adressen werden erkannt', () => {
  for (const gut of ['mail@tillheidrich.de', 'a.b+c@sub.beispiel.co.uk', 'x@y.de', 'Oma_1949@web.de']) {
    assert.ok(istMail(gut), `fälschlich abgelehnt: ${gut}`);
  }
});

test('Ungültige Adressen werden abgelehnt — auch die mit angehängtem Zeilenumbruch', () => {
  const schlecht = [
    '', '   ', 'keine-adresse', 'a@b', '@b.de', 'a@.de', 'a b@c.de', 'a@b .de',
    'a@b.de\nBcc: opfer@example.com',   // Kopfzeilen-Einschleusung
    'a@b.de\r\nSubject: x',
    'a@b.de\n',                          // JS-„$" passt auch vor dem Zeilenende
    'a'.repeat(250) + '@b.de',           // zu lang
  ];
  for (const s of schlecht) assert.ok(!istMail(s), `durchgerutscht: ${JSON.stringify(s)}`);
});

test('esc entschärft alles, was HTML zerlegen könnte', () => {
  assert.equal(esc('<b>x</b>'), '&lt;b&gt;x&lt;/b&gt;');
  assert.equal(esc('a & b'), 'a &amp; b');
  assert.equal(esc('sagte "hallo"'), 'sagte &quot;hallo&quot;');
  // Reihenfolge: & zuerst, sonst würde &lt; zu &amp;lt;
  assert.equal(esc('<&>'), '&lt;&amp;&gt;');
});

test('Die Überschrift der Mail wird immer maskiert', () => {
  const html = mailLayout('</h1><script>alert(1)</script>', ['Text']);
  assert.ok(!html.includes('<script>'), 'Skript-Tag im HTML gelandet');
  assert.match(html, /&lt;script&gt;/);
});

test('Die Adresse des Knopfes wird maskiert', () => {
  const html = mailLayout('Titel', ['Text'], { text: 'Ansehen', url: 'https://x.de/"><script>alert(1)</script>' });
  assert.ok(!html.includes('<script>'), 'Skript-Tag über die Adresse eingeschleust');
});

test('Absätze dürfen bewusst HTML enthalten — deshalb müssen Aufrufer maskieren', () => {
  // Das ist Absicht (für <b>), und genau deshalb ist es die Pflicht der
  // Aufrufer, Nutzereingaben vorher durch esc() zu schicken. Der Fehler, den
  // das Review gefunden hat, war eine Stelle, die das vergessen hatte.
  const html = mailLayout('Titel', ['Ein <b>fettes</b> Wort']);
  assert.match(html, /<b>fettes<\/b>/);
  // Und mit esc() ist es entschärft:
  assert.ok(!mailLayout('T', [esc('<b>x</b>')]).includes('<b>x</b>'));
});

test('Die Mail lädt nichts von fremden Servern nach', () => {
  const html = mailLayout('Titel', ['Text'], { text: 'Los', url: 'https://klarbild.example/s/abc' });
  // Keine Bilder, keine Schriften, keine Stylesheets von außen — sonst wäre es
  // ein Zählpixel und würde in vielen Postfächern ohnehin blockiert.
  assert.ok(!/<img/i.test(html), 'Bild im Mail-HTML');
  assert.ok(!/<link/i.test(html), 'externe Ressource im Mail-HTML');
  assert.ok(!/@import|url\(/i.test(html), 'CSS lädt etwas nach');
  // Genau ein Ziel: der übergebene Link.
  const ziele = [...html.matchAll(/href="([^"]*)"/g)].map((m) => m[1]);
  assert.deepEqual([...new Set(ziele)], ['https://klarbild.example/s/abc']);
});

test('Ohne Knopf entsteht auch kein Link', () => {
  const html = mailLayout('Titel', ['Nur Text']);
  assert.ok(!html.includes('href='), 'unerwarteter Link');
});