Meldingen blijven binnenkomen op uitgelogde browser

[GertMenkel]

Hallo, ik heb een vreemd dingetje gevonden (dat mogelijk een securitybug is? weet niet of er belangrijke info in die notificaties staan).

Ergens een tijd terug heb ik op uitloggen gedrukt en daarmee zijn alle sessies in alle browsers uitgelogd geraakt. Nu krijg ik echter op een Google Chrome-instantie waar ik niet opnieuw op ben ingelogd pushmeldingen over reacties op mijn berichten. Als ik erop klik krijg ik een hele mooie 403 Forbidden te zien, maar de meldingen blijven wel komen vreemd genoeg.

Sinds het uitloggen heb ik de PC al een paar keer herstart, dus ik vind het apart dat na een reboot de service worker blijkbaar wel ingelogd is maar mijn browser niet?

Aangezien ik op meldingen moet wachten om te kijken of het probleem nog steeds bestaat is het reproduceren wat lastig. Toch lijkt het mogelijk te zijn te reproduceren:

1. Log in in browser #1 (in mijn geval: Firefox)
2. Log in in browser #2 (in mijn geval: Chrome)
3. Bevestig dat je notificaties wilt in browser #2
4. Klik op "uitloggen" in browser #1 en selecteer "Al mijn sessies beëindigen, behalve deze"
5. Verifieer in browser #2 dat het uitloggen gelukt is (F5)
6. Wacht tot er een notificatie binnenkomt (zie notificatieinstellingen voor wat deze veroorzaakt)
7. (Optioneel) klik op de notificatie, krijg een 403 te zien.

Wat er gebeurt:
Browser #2 krijgt een melding ondanks dat deze is uitgelogd.

Wat ik verwacht dat er zou gebeuren:
Uitgelogde browsers tonen geen notificaties.

Software: Google Chrome (nieuwste) en Firefox (nieuwste) op Ubuntu 24.04. Pushnotificaties aan.

[crisp]

Dat is niet hoe (onze) pushnotificaties werken; die zijn niet gekoppelt aan het wel of niet ingelogd zijn in een browser, maar je browser zelf heeft een subscription op pushmessages, en als je pushmessages aan hebt staan in je profiel dan wordt elke browser waarin je ingelogd bent automatisch geabonneerd. De enige manier om in een bepaalde browser geen pushmessages te krijgen is dan om de toestemming voor pushnotificaties in die browser voor tweakers.net uit te zetten.

Nu zouden we natuurlijk in de serviceworker zelf nog wel een check kunnen doen of je wel of niet ingelogd bent, maar dat is dan wel een behoorlijke verandering ten opzichte van hoe we het al jaren geimplementeerd hebben..

[_--[]--__]

Hmm, dat is wel belangrijk om duidelijk te maken bij de setting in je profiel dan. Ik zou er ook geen rekening mee houden dat de notificaties ook na het uitloggen blijven komen als ik een keertje inlog op een (niet persoonlijke) pc.

[naitsoezn]

^^ Als ik het issue goed begrijp (via de steps to reproduce), dan gaat het erom dat er nog wel een browser op de pc is ingelogd, maar niet die browser waar de pushnotificaties binnenkomen. Correct me if I'm wrong, maar als je met alle browsers uitgelogd bent, dan zul je ook geen pushnotificaties meer ontvangen...

[crisp]

naitsoezn schreef op dinsdag 25 februari 2025 @ 10:56:
^^ Als ik het issue goed begrijp (via de steps to reproduce), dan gaat het erom dat er nog wel een browser op de pc is ingelogd, maar niet die browser waar de pushnotificaties binnenkomen. Correct me if I'm wrong, maar als je met alle browsers uitgelogd bent, dan zul je ook geen pushnotificaties meer ontvangen...

Nee, je moet dan echt het schuifje "Ontvang pushnotificaties in de browser" in het notificatiemenu op "uit" zetten; dan worden alle subscriptions ook opgeheven (in alle browsers).

Maar ik denk inderdaad dat het niet in het verwachtingspatroon ligt dat een niet-ingelogde browser alsnog notificaties krijgt (waar je vervolgens niets mee kan). Ik ga dus een ticket maken om te kijken wat gangbaar is tegenwoordig, en of we onze implementatie daarop moeten aanpassen.

[crisp]

We hebben zojuist een fix gereleased die de subscription van een browser bij uitloggen ook beëindigd. Note wel dat dat alleen geldt voor normaal uitloggen, en dus niet automatisch gebeurd als je bijvoorbeeld cookies wist.