洪 民憙 (Hong Minhee) :nonbinary: @hongminhee@hollo.social
Public

Fedifyを開発していて気づいたことなんですが、MisskeyのActivityPubオブジェクトへのアクセス処理について少し疑問があります。リモートサーバーから、アクセス権限のあるアクターの有効なHTTP Signaturesを含むリクエストでフォロワー限定投稿やDMにアクセスしようとしても、Misskeyは内容を返さずに404を返すようです。どうやらMisskeyはHTTP Signaturesを検証せず、visibilityフィールド（publicとhome）だけを確認しているようです。

Mastodonの場合、authorized fetchを有効にすると、HTTP Signaturesを検証して、リクエストしているアクターに権限があれば内容を返します。MisskeyもMastodonのような仕組みを採用してくれたら、ActivityPubが意図しているアクセス制御のセマンティクスをより適切に尊重できるんじゃないかと思います。他の方も同じようなことに気づかれたことはありますか？それとも、Misskeyがこのような処理をしている特別な理由があるのでしょうか？

洪 民憙 (Hong Minhee) :nonbinary: @hongminhee@hollo.social
Public

参考までに、Fedifyではこのようなきめ細かいアクセス制御を簡単に実装できます。ドキュメントの「Fine-grained access control」セクションをご覧ください。

Access control | Fedify

Fedify provides a flexible access control system that allows you to control who can access your resources. This section explains how to use the access control system.

fedify.dev

Link author: Fedify: ActivityPub server framework@fedify@hollo.social

0
0
0

If you have a fediverse account, you can quote this note from your own instance. Search https://hollo.social/@hongminhee/019bead9-4a95-741f-af45-f5bf367ce19e on your instance and quote it. (Note that quoting is not supported in Mastodon.)