#30125 Agent-Zugriff: /agent-api antwortet auf eine Anfrage ohne gültige Anmeldedaten mit einer Weiterleitung zur Anmeldeseite statt mit einem 401-Fehler.

enhancement

major

#29993

Konfiguration: Jede konfigurierte Funktion wahlweise in Java oder TL-Script implementierbar, mit derselben Konfigurationssyntax (auch im React-Konfigurationseditor)

#30000

Design-System-UI-Durchlauf, Teil 1: ein Auswahlformular; „surface-interactive-selected“ wird zu „surface-interactive-strong“

#30006

Engine-Erweiterungen für die Steueranwendung: beschreibbarer Geheimnisspeicher in der Datenbank, Kontextpfad der Anwendung im Entwicklungsmodus (tl.contextPath) und Instanzsuche nach Attributwert

#30025

React-Oberfläche: Befehle und Einheiten ausblenden, für die der angemeldete Benutzer auf keinem Objekt die nötige Rolle hat

#30031

Datenbank erzwingt keine Eindeutigkeit der Werte von Referenzen ohne Duplikate: eindeutiger Index auf den Link-Tabellen, eigene Link-Tabellen für Bags

#30041

Self-Service-Konten: Einladungen verfallen und ihre Annahme wird protokolliert; Einladungen können in der React-Benutzeroberfläche angenommen und verwaltet werden; lokalisierte E-Mail-Vorlagen

#30045

Ebenen-Slots anzeigen: Bericht über „ <slot-content> “, das „no <slot> “ erreicht, leeres Fallback von „ <slot> “, Slot-Positionen in geteilten Fenstern und in der Seitenleiste

#30053

Agent läuft: Begrenzt die Anzahl paralleler Tool-Aufrufe (AgentLoop.TOOL_WORKERS) und teilt einem Benutzer mit, dessen Chat-Nachricht auf einen freien Worker wartet

#30054

Screenshots von Agenten gehören zu ihrem Chat: Sie werden zusammen mit diesem gelöscht und im Chat als Miniaturansichten angezeigt.

#30057

Verwaltung der React-Benutzeroberfläche: Scheduler (Aufgabenliste, Jetzt ausführen, Stoppen, Aktivieren/Deaktivieren, Cluster-Sperre, Ausführungsverlauf) mit einem einheitlichen Schalter zum Aktivieren/Deaktivieren pro Aufgabe

#30058

Verwaltung der React-Benutzeroberfläche: Speicherverlaufsdiagramm (Speicherauslastung im Zeitverlauf einschließlich Garbage Collection) und die übrigen Überwachungsansichten der klassischen Benutzeroberfläche

#30059

Verwaltung der React-Benutzeroberfläche: Wartungsfunktionen der klassischen Wartungsseiten (Datenbank-Export/Import/Verlaufskomprimierung, SQL-Konsole, Neuladen, Suchindex, Sicherheitsspeicher, Verschlüsselung)

#30061

React UI: Letzte Änderungen des Benutzers mit Rückgängigmachen eines Commits (Benutzermenü)

#30062

Modell-Editor der React-Benutzeroberfläche: Instanz-Browser und Instanz-Import des ausgewählten Typs

#30063

Verwaltung der React-Benutzeroberfläche: Personen (Kontakte mit optionaler Anmeldung) in einem Formular

#30064

Verwaltung der React-Benutzeroberfläche: Anmeldemeldungen (Meldungen, die bei der Anmeldung angezeigt werden, mit Angabe ihrer Gültigkeitsdauer)

#30065

React-Oberfläche: Workflow-Administration mit BPMN-Editor, Schrittansichten aus dem View-Designer und Aufgabenbearbeitung (BPE)

#30066

React-Administration: Wirksame Rechte eines Kontos auf einem Objekt anzeigen und erklären (Rolleninspektor)

#30074

React-Oberfläche: Anmeldung mit Passkeys (WebAuthn) - passwortlos oder als zweiter Faktor neben TOTP, Verwaltung der eigenen Passkeys in den Einstellungen

#30075

Protokollansicht (React-UI): Details eines Eintrags (Stacktrace) in einem Dialog lesbar anzeigen

#30076

React-Oberfläche: Passwortänderung mit Bestätigungsmeldung und Prüfung vor der Identitätsabfrage; Schutz gegen Durchprobieren von Passwörtern und Einmalcodes

#30081

TL Views: Authenticator-App wechseln (neues TOTP-Geheimnis), Zwei-Faktor-Authentifizierung durch Administrator zurücksetzen

#30086

XML-Import: Die Datei „ <update> “ unter <unless-known> muss die Struktur der untergeordneten Elemente, die sie aktualisiert, wiedergeben.

#30088

Ebene anzeigen: Dokumentieren Sie, wie eine „ChannelSource“ einen Monitor am Laufen hält, während dessen Ansicht ausgeblendet ist, und ihn mit dem Fenster beendet.

#30095

OpenAPI-Client: Parameterwert aus einer Secret-Quelle

#30096

Rechtesystem: Konfigurierbaren Group-Mapper des ElementAccessManager entfernen

#30097

JavaScript-Bibliotheken (umljs, ace, require.js, bpmn-js) im Maven-Build erzeugen statt einzuchecken, bpmn-js auf 18 aktualisieren

#30098

Designsystem als Engine-Modul: Erstellung durch Maven anstelle einer eingecheckten Kopie mit Seals

#30104

Nächtliche Vorschau-Versionen der Engine mit fester Maven-Version und Änderungsliste statt eines wandernden SNAPSHOT

#30108

pac4j-Anmeldung: Die Konto-Zuordnung erhält die ganze Identität des Identity-Providers (Subject, Claims) statt nur eines Login-Namens

#30116

CommonMark: Tabellen (GFM) als HTML-Tabellen darstellen

#30117

Refetch-Timeout nennt nicht den Thread, der die Commit-/Refetch-Sperre hält

#30120

Ebene anzeigen: Optionen eines Zeichenfolgenattributs dürfen keine Anzeigebezeichnungen enthalten

#30122

TLDoclet-Ausnahmen in ext/javadoc/javadoc-ignores abbauen

#30126

tl-chat: Chat-Aktionen laufen als React-Commands des Fensters statt über einen eigenen ChatServlet; der Proxy-Workaround des Chats entfällt zugunsten des Pollings der Engine

#30131

Ebene anzeigen: Den Fallback von „AttributeWithFallbackStorage“ als Platzhalter für ein Formularfeld anzeigen

#30132

Ebene anzeigen: Die Wert-Listener des Modells (<value-listeners>) reagieren über einen UI-unabhängigen Listener-Vertrag auf Feldänderungen im React-Formular.

#30148

RecollateStringColumnsProcessor: ANALYZE nach dem Umstellen der Collation ausführen (PostgreSQL)

#30149

Einem Chat-Agenten soll es ermöglicht werden, Seitenbefehle auszuführen, die auf der Chat-Seite zulässig sind, z. B. einen Dialog zu öffnen

#30150

Stellen Sie einen Anbieter mit aufgezeichneten Musterantworten für die Agentenprüfungen der Bewerbungen bereit

#30151

React-View-Schicht: Befehle ohne HandlerResult - View-Befehle melden Fehler als Exception, React-Befehlshandler liefern ihre Antwort als msgbuf-Nachricht

#30157

React-Oberfläche: Bilder im HTML-Editor einfügen per Strg+V und Drag&Drop, Größe mit Anfassern ändern, nie breiter als der Inhalt

#30158

TL-Chat: Einem Chat-Agenten ermöglichen, die Eingabe eines von ihm ausgeführten Seitenbefehls weiterzugeben

#30160

Albert in eine Anwendung integrieren: fertige React-Chat-Seite, Anleitung und Standardwerte für Archetypen

#30163

SQLFactory: Spaltenänderungen (modifyColumnName/Type/Mandatory) nur mit vollständiger Spaltendefinition erzeugen

#30167

Datenbank-Defaults für Spalten entfernen: Pflichtspalten per „anlegen, füllen, Pflicht setzen“ hinzufügen

#30172

Konten über eine externe Anmeldung erstellen und ihnen über einen Claim Gruppen zuweisen

#30179

Eine Anwendung, die mit „useSSO=true“ erstellt wurde, bietet die generische OpenID-Anmeldung an, die über die Umgebungsvariablen „tl_pac_*“ aktiviert wird – auch auf dem Entwicklungsserver.

#30183

Self-Service: Offene Selbstregistrierung ohne Einladung

#30190

Entfernen Sie die Steuerungsanwendung „tl-factory“ aus der Engine; sie wird in einem eigenen Repository entwickelt.

#30200

Agent-Zugriff und Aufzeichnung: Kommandos arbeiten auf stabilen Objekt-IDs, fachliche Schlüssel nur für Aufzeichnung und Wiedergabe

#30215

Ebene anzeigen: Ein Wertkanal, dessen Wert pro Benutzer gespeichert wird

#30223

Self-Service-E-Mails: Texte in der Servicekonfiguration bearbeitbar, Sprache der Einladung wählbar

#30225

Modell: Handler, die für ein Attribut (Änderung) oder einen Typ (Erstellung, Löschung) deklariert sind, werden innerhalb des Commit ausgeführt

#30227

Design-System-UI-Übung, Teil 1b: Tabellen mit Tiefenwirkung und sichtbaren Spaltengrenzen

#30250

TL-Ansichten: <start-job> / <job-status> – Schließen-Schaltfläche für einen abgeschlossenen Job, „Point of No Return“, Teilergebnis eines abgebrochenen Jobs, Schließen des Dialogs aus dem Folgejob heraus, der Folgejob sieht die Commits des Jobs

#30253

tl-ai-core bindet die Playwright-Browser (Driver-Bundle, 200 MB) in jede Anwendung ein: Die Browser-Tools werden in das optionale Modul tl-ai-browser ausgelagert.

#30266

React-Konfigurationseditor: Mehrzeilige Texte (HTML, Markdown, Code, mehrzeilig) nutzen standardmäßig die ganze Zeile

#30267

Geheimnisse aus der Administration setzen und entfernen, beschreibbare Verzeichnis-Ablage

#30268

Systemumgebung: Herkunft der Konfigurationsvariablen anzeigen und Variablen aus der Administration setzen

#30276

KI-Agenten: Aussagekräftige Commit-Nachrichten für Änderungen eines Agenten statt "Agent edit"

minor

#30139

TL Views: Einheit und eigenes Zahlenformat für Zahlenfelder

#30188

TL-Script: Binärwert als Text lesen; Webapp-Ressource als Binärwert lesen

#30209

React-Tabelle: Spalten abhängig von Kanalwerten ein- und ausblenden (exists-if)

#30218

ModificationListener: Es gibt keine unterstützte Möglichkeit, dem Benutzer mitzuteilen, was durch eine Modifikation geändert wurde, sobald der Commit erfolgreich war.

defect

critical

#30146

Datenmigration ist beim gleichzeitigen Start mehrerer Cluster-Knoten nicht gegen parallele Ausführung geschützt

#30196

Abbrechen eines Hintergrundjobs (TL Views <start-job>, Scheduler-Task, JMS-Consumer) unterbricht den Thread mitten im Datenbankzugriff und schließt eine eingebettete H2-Datenbank (MVStore panic, Anwendung unbenutzbar)

#30224

TestFlowSvgPortable lässt sich nicht kompilieren: FlowFactory.chart() hat den Parameter „fixedView“

#30301

React-Views: TestTreeTableRowEdit kompiliert auf master nicht mehr (ExpandArguments.ROW_INDEX durch ROW_ID ersetzt)

major

#29847

Der Skript-Test „TestTransactionMonitor-01_RevertRevision“ schlägt fehl, wenn eine geplante Aufgabe gleichzeitig eine Transaktion abschließt.

#30043

TL Views: Ein Wert, den der Server festlegt, während der React-Rich-Text-Editor den Fokus hat, wird nie übernommen; der Editor behält seinen Text nach dem Absenden bei.

#30067

React-Oberfläche: Anmeldung in einem Browser-Tab meldet sofort wieder ab, wenn ein zweiter Tab der Anwendung offen ist

#30077

TL Views: Wizard - ein erneut betretener Auto-Weiter-Schritt ohne eigene Navigation lässt den Benutzer ohne Weg zurück in den Ablauf

#30078

React-Oberfläche: Beim Einrichten der Zwei-Faktor-Authentifizierung wird der Schlüssel für die manuelle Eingabe nicht angezeigt, nur der QR-Code

#30079

Konfigurierte SecurityParents funktionieren nicht mit StructuredElementWrapper

#30082

React-Oberfläche: Reiter eines Dialogs verändern die Adresse der Seite und bleiben nach dem Schließen in der URL stehen

#30090

Scheduler: Ein beim Start fälliger Task wird beim Herunterfahren abgehängt, während er noch läuft (NullPointerException in TaskImpl.getLog())

#30099

Scheduler-Tests: testStartTaskImmediately / testPeriodically laufen seit der Überarbeitung des Schedulers zeitweise in einen Timeout

#30103

tl-maven-plugin: Schlägt das Zusammenführen der View-Overlays beim Bau einer Anwendung fehl, bleibt das Build grün

#30106

tl-chat: Befehle im Kopf einer data-list zeigen ihren Zustand nicht (ausgeblendet, deaktiviert mit Grund); ein Klick auf einen gesperrten Befehl bleibt stumm

#30107

tl-maven-plugin: Schlägt das Erzeugen eines Layouts beim Bau einer Anwendung fehl, bleibt das Build grün

#30109

tl-chat: Nach der Anmeldung im selben Browser-Fenster bleibt der Chat bei „Melde dich an, um den Chat zu nutzen“

#30110

Abgebrochener externer Login (OIDC) hinterlässt eine angemeldete Session ohne Tokens

#30115

delete-module / delete-class räumen hasWrapperAttValue-Daten nicht auf

#30118

Passkeys je Anwendung entweder zum Anmelden ohne Passwort oder als zweiter Faktor, nicht beides zugleich

#30119

AlterColumnProcessor aktualisiert das gespeicherte Schema für abstrakte Typen nicht

#30123

Scheduler meldet fälschlich „There is no thread to remove“, wenn der Start eines Tasks scheitert

#30124

OpenAPI-Server: Fehlermeldung eines gescheiterten Skripts ist unlesbar und wird außerhalb des Interaction-Contexts erzeugt

#30125

Agent-Zugriff: /agent-api antwortet auf eine Anfrage ohne gültige Anmeldedaten mit einer Weiterleitung zur Anmeldeseite statt mit einem 401-Fehler.

#30127

Eine Anwendung im Server-Stammverzeichnis behält ihre Sitzung bei: Das Sitzungs-Cookie wird an alle ihre Pfade gesendet, und die React-Seite zeigt ihr Symbol an.

#30128

Ein Aufruf ohne Anmeldedaten des Anbieters führt zu einem Authentifizierungsfehler, und der HTTP-Code 402 bedeutet bei jedem Anbieter einen Abrechnungsfehler.

#30133

Ebene anzeigen: Ein Feld, das aufgrund der dynamischen Sichtbarkeit als Pflichtfeld gekennzeichnet ist, verliert bei einer Validierungsänderung die Markierung „erforderlich“.

#30141

TypeIndexer: Java 21 als unterstützte Quellversion; Records indizieren

#30143

TL Chat: Während ein Agent mehrere Schritte ausführt, bleibt sein letzter Text sichtbar und die Laufzeile nennt den aktuellen Schritt, statt nur "…" und "Arbeitet …" zu zeigen

#30144

In einer Anwendung mit modellbasierter Sicherheit sind Chat-Sitzungen für ihren Eigentümer nicht sichtbar.

#30147

React-Oberfläche: Menü "Weitere Aktionen" schließt nicht mit Escape, wenn alle Einträge deaktiviert sind

#30159

Script-Recorder der React-Oberfläche: Aufnahmen von Baum, Mehrfachauswahl und Dropdown-Assertions lassen sich in einer anderen Sitzung wiederholen

#30164

TL-Chat: Ein Lauf, der mit einer Ausnahme fehlschlägt, hinterlässt keinen Fehler im Chat; er verschwindet nach einem Neuladen.

#30165

React: Ein Befehl mit „ignoreStaleUi“ an ein Steuerelement, das nicht mehr auf dem Bildschirm angezeigt wird, schlägt weiterhin mit dem Fehler 404 „Steuerelement nicht gefunden“ fehl.

#30166

TL-Chat: „runPageCommand“ gibt dem Modell die Ablehnung eines Seitenbefehls auf Englisch statt in der Sprache des Benutzers zurück.

#30173

Die OIDC-Anmeldeschaltfläche wird angezeigt, obwohl der Client weder über eine Discovery-URI noch über Anbieter-Metadaten verfügt.

#30176

Der Entwicklungsserver wird über /admin/stop von jeder beliebigen Adresse aus angehalten.

#30177

Der Entwicklungsserver ignoriert X-Forwarded-*-Header, sodass eine relative Callback-URL hinter einem Proxy den falschen Ursprung angibt.

#30184

DeleteTableProcessor entfernt keine <alternative>-Elemente aus dem gespeicherten Schema

#30201

Veto gegen die Modellbeschränkungen einlegen: Bei einem fehlgeschlagenen Auftrag (und dessen Protokoll) wird lediglich „Kann nicht gespeichert werden, Beschränkungen verletzt“ angezeigt, ohne dass die Probleme aufgeführt werden.

#30216

Hintergrundarbeit scheitert mit „Session revision invalid", wenn das Fenster währenddessen speichert (Jobs, KI-Läufe)

#30231

HtmlResKey: Wert auch als Attribut einlesen (Format ergänzen)

#30244

tl-archetype-deploy: Abhängigkeit des Archetyp-Integrationstests auf tl-demo deklarieren

#30247

Migration auf PostgreSQL mit autosave=NEVER: Erwartete SQL-Fehler brechen die Transaktion ab

#30251

tl-ai-core, Anthropic-Anbieter: Claude 5.5-Modelle fehlen im mitgelieferten Modellkatalog, und claude-haiku-5-5 hat ein „Thinking Budget“ zurückgegeben (HTTP 400)

#30252

tl-ai-mcp-server: „tools/list“ wird nicht anhand der Zugriffsrechte des Aufrufers gefiltert, und „/mcp/“ mit einem abschließenden Schrägstrich liefert den Status 404.

#30254

tl-chat: a missing API key is announced as a rejected key ("Das Modell hat den Zugangsschlüssel abgelehnt")

#30255

tl-ai-core: Der Agent-Zug wurde mit der Meldung „Objekte vom Typ … ohne Berechtigung erstellen“ zurückgesetzt, wenn ein Tool ein Teil in einem Objekt erstellt, das im selben Zug erstellt wurde – die doppelte Pre-Commit-Prüfung entfernen, Anfangswerte im TL-Script überprüfen

minor

#29961

React-Anwendungen enthalten Module der klassischen Oberfläche (Self-Service, WYSIWYG-Editor, Code-Editor, Suche, Monitoring, KI-Administration)

#30044

TL-Ansichten: Ein Seitenleisten-Trennzeichen bleibt sichtbar, wenn alle darauf folgenden Elemente ausgeblendet sind; in der anonymen Sitzung wird das System-Trennzeichen angezeigt, unter dem sich nichts befindet.

#30085

Vorgabewerte <country value="..."/> und <time-zone value="..."/> (CountryDefaultProvider, TimeZoneDefaultProvider) nicht nutzbar

#30089

TL-Script-Funktionen `binarySize()` und `modelHealthReset()` liefern Ganzzahl statt Double und protokollieren bei jedem Aufruf einen Fehler

#30121

Kompilierungsfehler in Eclipse in TL 8 alpha12

#30134

Ebene anzeigen: „ <composition-table> “ ignoriert die Sichtbarkeit (dynamic-visibility, hidden, read-only) seines zusammengesetzten Attributs.

#30140

TL Views: „TestViewsLoad“ erkennt keine undefinierte Variable im Wert-Ausdruck einer berechneten Spalte

#30142

CommaSeparatedStringSet: Nicht-deterministische Serialisierung erzeugt doppelte key-attributes in Schema-Baseline

#30180

Flow-Diagram (Gantt): Klick auf Element wählt nichts aus, wenn frozenRows > 0

#30181

Flow-Diagram (Gantt): Diagramm wird immer komplett eingepasst – kein vertikales Scrollen, unlesbar bei vielen Zeilen

#30185

Flow-Diagram (Gantt): Beschriftung von LineDeco (z. B. „Heute“) unter fixierten Kopfzeilen abgeschnitten; Kanten ohne Pfeilspitze

#30187

Diagramm-Export als SVG (reactFlowToSvg, flowToSvg) ist nicht Batik- bzw. druckfähig

#30191

Die Modulabschaltung führt zu keiner Abschaltung des Moduls, wenn die Klasse seines InContext-Jobs nicht geladen werden kann (die Datenbank bleibt in der JVM des Containers geöffnet).

#30197

React-Tabelle: Datumszelle im In-Place-Edit übernimmt jeden Tastatur-Zwischenstand (z. B. Jahr 0002)

#30198

React-Views: Baumtabelle ({{{<tree-table>}}}) ohne Zeilenbearbeitung ({{{row-edit}}}) – kein Ersatz für das klassische Tree-Grid

#30199

React-Views: Zeilenbearbeitende Tabelle zeigt bei verletztem Constraint nur einen roten Rahmen, keinen Meldungstext

#30204

React-Tabelle: Attributspalte bei mehreren Zeilentypen nur am ersten Typ aufgelöst (Beschriftung, Sortierung, Filter)

#30205

React-Tabelle mit Row-Edit: Spalte auf ein abgeleitetes Attribut ist editierbar, Speichern scheitert

#30206

React: Deaktivierter upload-command zeigt keinen Grund; null-input-disabled sperrt ihn immer

#30207

React: button mit Upload-Aktion öffnet keine Dateiauswahl

#30208

React-Tabelle: keine Zellanzeige für externe Links (URL)

#30211

React: Eingebaute Regeln von delete-object und Co. greifen vor den konfigurierten (visible-if wirkungslos)

#30212

React: null-input-disabled prüft nur den ersten Input

#30213

Binärattribut: Abfrage des Inhaltstyps lädt den ganzen Inhalt; BLOB-Spalten in Objekttabellen nur für kleine Werte

#30214

Ebene anzeigen: Tooltips lassen die Zeilenumbrüche ihres Textes weg (.tl-tooltip__body hat „white-space: normal“)

#30226

React-Tabelle: Befehle kennen weder die angezeigten Zeilen noch deren Reihenfolge

#30237

React-UI: Keine Anzeige, während ein Befehl auf dem Server läuft

#30256

React-UI: Farbrolle einer Zeile, Zelle oder Anzeige als eigenes Skript (row-role, cell-role, role) statt der wirkungslosen Statusklassen tl-status-*

#30257

React-UI: Befehle eines Fensters aus einer abgelösten Sitzung erzeugen je Befehl zwei WARN-Zeilen

#30258

React-UI: Reiter nur für einen Typ zeigen geht nur über eine Typabweichung in access-control, und die wird als WARN geloggt

#30259

KB: Committable.rollback() wird nach erfolgreichem Datenbank-Commit aufgerufen, wenn das Veröffentlichen der Änderungen oder Caches scheitert

#30265

TL-Script: try() gibt bei throw() und TopLogicException nur den Text der Meldung statt des ResKey an catch

#30269

ModelAccessRights.isAllowed(Person, ...): Prüfung für eine andere Person übernimmt Bypass bzw. Admin-Status des aktuellen Kontexts

task

major

#30046

Entfernen Sie den nicht verwendeten Dienst „ReactComponentRegistry“

update

critical

#30111

Update der RequireJS-Abhängigkeit auf ^2.3.7 [SICHERHEIT]

defect

major

#30125

Agent-Zugriff: /agent-api antwortet auf eine Anfrage ohne gültige Anmeldedaten mit einer Weiterleitung zur Anmeldeseite statt mit einem 401-Fehler.

ReactUI

Siehe auch: #30048 (Folgemaßnahmen zum Agentenzugriff).

Verhalten (8.0.0-alpha12)

Eine Anwendung, die auf tl-layout-view-agent basiert (hier E-Home, gestartet mit exec:java, Jetty 12.1). Eine Anfrage an den Agent-Endpunkt mit einem gefälschten, abgelaufenen oder fehlenden Bearer-Token:

curl -s -D - -o /dev/null -H "Authorization: Bearer tlagt_x_forged" http://localhost:8080/ehome/agent-api/windows
HTTP/1.1 302 Found
Location: /ehome/view/?sessionCheckInProgress=true

Das Gleiche ohne „Authorization“-Header liefert ebenfalls einen 302-Status. Ein gültiges Token liefert einen 200-Status mit {"windows": [...]}.

Erwartet

Im Artikel „view-layer/agent-access“ heißt es: „Die Anmeldedaten einer beendeten Sitzung gewähren niemandem Zugriff (401)“, und AgentServlet sendet SC_UNAUTHORIZED „Keine Sitzung.“ zurück, wenn es keine Sitzung findet. Die Antwort kommt nie an: Die Sitzungsprüfung von TopLogicServlet (SESSION_CHECK, sessionCheckInProgress) leitet zuerst weiter, da die Anfrage kein Sitzungs-Cookie enthält.

Ein Agent ist kein Browser: Er folgt der Weiterleitung, erhält den HTML-Code der Ansichtsseite mit dem Status 200 und muss anhand des Content-Types erraten, dass er nicht zugelassen wurde. Der Endpunkt sollte jede Anfrage, die er nicht zulässt, mit 401 (und einem JSON {"error": ...} wie bei seinen anderen Fehlern) ohne Weiterleitung beantworten, damit ein Client „Token nicht akzeptiert“ von einem Serverfehler unterscheiden kann.

Reproduktion

Beliebige Anwendung mit tl-layout-view-agent, ohne Anmeldung: curl -i <app>/agent-api/windows → 302 zu /view/?sessionCheckInProgress=true.

Die Ablehnung selbst ist unbedenklich (es werden keine Daten übermittelt); lediglich der Status ist falsch. Der Integrationstest von #30048 (6.) sollte dies abdecken.

Lösung

AgentServlet nutzt den vorhandenen Einstiegspunkt von TopLogicServlet (wie ReactServlet und AJAXServlet):

isCookieCheckRequired() liefert „false“: Der Cookie-Test ist nur für die Navigation eines Browsers sinnvoll, ein Agent kann ihn nicht bestehen.
handleNoSession() antwortet mit 401 und dem JSON-Fehlerobjekt {"error": ...} des Endpunkts, ohne Weiterleitung. Ohne diese Überschreibung endete eine Anfrage ohne Session nach dem Abschalten des Tests mit einer leeren Antwort 200.

Eine Anfrage mit Session-Cookie (Browser) ist davon nicht betroffen. Ein ServletUnit-Test prüft: kein Authorization-Header, gefälschtes Token und Token einer beendeten Sitzung werden jeweils mit 401, JSON-Rumpf und ohne Location beantwortet. Der Artikel view-layer/agent-access beschreibt die Antwort. Übrigens: Die JavaDoc von SignedInContentServlet behauptete, der Cookie-Test sei nicht deaktivierbar; sie nennt nun isCookieCheckRequired() und den eigentlichen Grund, ihn dort beizubehalten.