Release 0.3.0

docs/DECISIONS.md

@@ -135,3 +135,40 @@ Geheimnisträger und werden weder versioniert noch über eine Route ausgeliefert
 
 Nodemailer 10.1.7 unterstützt Node 20 oder neuer und ist MIT-0-lizenziert.
 Quelle: <https://github.com/nodemailer/nodemailer>
+
+## D-011: Form-Actions und optimistische Piece-Revisionen
+
+Piece-Schreibvorgänge bleiben normale SvelteKit-Form-Actions und funktionieren
+damit ohne clientseitiges JavaScript. `use:enhance` ergänzt den Editor um
+verzögertes Autospeichern und sichtbare Zustände. Vor interner Navigation wird
+eine ausstehende Änderung gespeichert; beim Verlassen der Seite greift die
+Browserwarnung. Jede Mutation vergleicht eine erwartete ganzzahlige Revision in
+derselben SQLite-Transaktion. Veraltete Änderungen liefern 409 und überschreiben
+keine aktuelleren Inhalte oder Zuordnungen.
+
+Quelle: <https://svelte.dev/docs/kit/form-actions>
+
+## D-012: Markdown immer nach dem Parsen bereinigen
+
+Marked 18.1.1 rendert die gespeicherten Markdown-Texte serverseitig. Marked
+weist ausdrücklich darauf hin, dass seine HTML-Ausgabe nicht bereinigt ist.
+Darum reduziert sanitize-html 2.18.1 das Ergebnis anschließend auf ausgewählte
+Text-, Listen-, Code- und Linkelemente. Skripte, Bilder, Ereignisattribute,
+relative Protokoll-URLs und andere Schemata werden nicht zugelassen.
+
+Quellen:
+
+- <https://github.com/markedjs/marked>
+- <https://github.com/apostrophecms/apostrophe/tree/main/packages/sanitize-html>
+
+## D-013: Private Rasterbilder außerhalb statischer Assets
+
+Uploads liegen ausschließlich im konfigurierten privaten Uploadverzeichnis und
+werden über zufällige interne Namen adressiert. file-type 22.2.0 erkennt den Typ
+aus dem Dateiinhalt; Client-MIME und Originalname entscheiden nicht über Typ oder
+Pfad. Zugelassen sind JPEG, PNG, WebP und GIF bis 5 MB. SVG und allgemeine
+Dokumente bleiben ausgeschlossen. Eine authentifizierte ID-Route liefert Bilder
+mit sicherheitsrelevanten Headern aus. Das Adapter-Requestlimit liegt mit 6 MB
+knapp oberhalb des fachlichen Dateilimits.
+
+Quelle: <https://owasp.org/www-community/vulnerabilities/Unrestricted_File_Upload>