Let the consent form actually reach the site it returns to

Two browser behaviours broke the consent button in staging, and neither
unit nor end-to-end tests could see them: both drive the endpoint with
fetch, and fetch enforces neither referrer policy nor CSP.

First, the page's own `referrer-policy: no-referrer` made the browser send
a literal `Origin: null` on the same-origin form POST, so our origin check
rejected it. The page now sends `same-origin`: real Origin on the way in,
still no referrer on the way out. The check also treats `null` as "no
origin stated", so one header can no longer close the door again.

Second, `form-action 'self'` covered the POST but not the 302 that follows
it, and Chrome applies form-action to the whole redirect chain. The grant
was being stored and the return silently blocked — nothing happened on
screen, no error anywhere. The directive now carries the client's redirect
origin, taken from the URI that was already matched against the registered
allowlist, and read through `new URL().origin` so only scheme+host+port can
reach the header.

Both lessons are locked by assertions that fail when reverted.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Author: sametbasbug

scripts/orbit-site-authorization-tests.ts

@@ -940,14 +940,27 @@ describe('Orbit as a sign-in door for other sites', { concurrency: false }, () =
       accountHandle: 'samet',
       ticket: 'orb_site_req_v1.payload.signature',
       csrfToken: 'csrf-value',
-      cancelUrl: 'https://anime.sametbasbug.dev/auth/v1/callback?error=access_denied',
+      redirectUri: 'https://rslltclzdfzwaxqtozmq.supabase.co/auth/v1/callback',
     });
     const html = await response.text();
 
     assert.equal(response.headers.get('content-type'), 'text/html; charset=utf-8');
     assert.equal(response.headers.get('cache-control'), 'no-store');
+    /* `no-referrer` OLMAMALI: o politika, bu sayfadan çıkan form gönderiminin
+     * Origin başlığını literal `null` yapıyor ve köken kontrolü onu reddedince
+     * "İzin ver" düğmesi çalışmıyor. Staging'de iki kez kırıldı; bu satır o
+     * dersin kilidi. */
+    assert.equal(response.headers.get('referrer-policy'), 'same-origin');
     /* Sayfada script yok ve CSP bunu kalıcı kılıyor; iframe'e alınamıyor. */
-    assert.match(response.headers.get('content-security-policy') ?? '', /frame-ancestors 'none'/u);
+    const csp = response.headers.get('content-security-policy') ?? '';
+    assert.match(csp, /frame-ancestors 'none'/u);
+    /* `form-action` dönüş kökenini içermeli. Yalnız `'self'` yazıldığında Chrome
+     * onay POST'unun ardından gelen 302'yi engelliyor: izin kaydediliyor ama
+     * tarayıcı siteye dönmüyor ve ekranda hiçbir şey olmuyor. Staging'de
+     * "bastım, sayfa kaybolmadı" diye görüldü; bu satır o dersin kilidi. */
+    assert.match(csp, /form-action 'self' https:\/\/rslltclzdfzwaxqtozmq\.supabase\.co;/u);
+    /* Başlığa yalnız köken giriyor — yol, sorgu ya da ayırıcı taşınmıyor. */
+    assert.equal(csp.includes('/auth/v1/callback'), false);
     assert.equal(/<script/iu.test(html), false);
 
     assert.match(html, /E-posta adresin/u);
@@ -971,7 +984,7 @@ describe('Orbit as a sign-in door for other sites', { concurrency: false }, () =
       accountHandle: 'samet',
       ticket: 'orb_site_req_v1.a.b',
       csrfToken: 'csrf',
-      cancelUrl: 'https://anime.example/cb',
+      redirectUri: 'https://anime.example/cb',
     });
     const html = await response.text();
     /* İstemci adı operatör eliyle giriliyor, yani bugün güvenilir. Kaçış yine

scripts/orbit-site-signin-e2e-tests.ts

@@ -500,11 +500,27 @@ describe('Signing in to another Equinox site with Orbit', { concurrency: false }
     const crossSite = await consent(ticket, 'allow', { secFetchSite: 'cross-site' });
     assert.equal(crossSite.status, 403);
 
-    /* Ve gerçek hâl: aynı kökenden gelen form, `Origin` başlığı olmadan. Bu
-     * satır staging'de kırılan yolun kendisi. */
-    const real = await consent(ticket, 'allow', { secFetchSite: 'same-origin' });
-    assert.equal(real.status, 302, 'the browser sends no Origin on a same-origin form post');
-    assert.ok(locationOf(real).searchParams.get('code'));
+    /* Ve gerçek hâl. Bu satır staging'de İKİ KEZ kırılan yolun kendisi:
+     * ilkinde başlık yok sanmıştım, gerçekte tarayıcı literal `null`
+     * gönderiyordu — çünkü sayfamızın referrer politikası `no-referrer`'dı ve
+     * o politika Origin'i `null`a çeviriyor. */
+    const nullOrigin = await consent(ticket, 'allow', {
+      origin: 'null',
+      secFetchSite: 'same-origin',
+    });
+    assert.equal(
+      nullOrigin.status,
+      302,
+      'a no-referrer page makes the browser send Origin: null, which is not an attack signal',
+    );
+    assert.ok(locationOf(nullOrigin).searchParams.get('code'));
+
+    /* Başlığın tümden yokluğu da geçiyor (eski tarayıcılar). Aynı bilet
+     * yeniden kullanılıyor: tek kullanımlık olan kod, bilet değil — bilet
+     * süresi içinde yeni bir kod üretiyor ve izin kaydı zaten UPSERT. */
+    const absent = await consent(ticket, 'allow', { secFetchSite: 'same-origin' });
+    assert.equal(absent.status, 302);
+    assert.ok(locationOf(absent).searchParams.get('code'));
   });
 
   test('a code cannot be exchanged twice, and the replay burns the tokens', async () => {

src/server/http/api.ts

@@ -4025,7 +4025,18 @@ function siteIssuer(env: OrbitBindings): string {
  * açık olurdu, öyle değil. */
 function requireBrowserFormOrigin(request: Request, env: OrbitBindings): void {
   const origin = request.headers.get('origin');
-  if (origin !== null && origin !== env.ORBIT_ALLOWED_ORIGIN) {
+  /* `null` başlığın yokluğu değil, "kökeni söylemeyeceğim" demek — ve
+   * tarayıcı bunu bizim kendi başlığımız yüzünden yapıyordu: sayfa
+   * `referrer-policy: no-referrer` gönderdiğinde form gönderiminin Origin'i
+   * literal `null` oluyor. İlk düzeltmem yalnız başlığın YOKLUĞUNU karşıladı
+   * ve staging'de aynı hata ikinci kez geldi.
+   *
+   * Sayfanın politikası artık `same-origin` (bkz. site-consent-page.ts), yani
+   * gerçek Origin geliyor. Buradaki `null` toleransı yine kalıyor: tek bir
+   * başlık değişikliğinin girişi yeniden kırmasına gerek yok, ve `null` bir
+   * saldırı sinyali değil — çapraz kökenden gelen gerçek bir form gönderimi
+   * kendi kökenini taşıyor. */
+  if (origin !== null && origin !== 'null' && origin !== env.ORBIT_ALLOWED_ORIGIN) {
     throw new ApiError(403, 'origin_forbidden', 'Request origin is not allowed.');
   }
   const site = request.headers.get('sec-fetch-site');
@@ -4456,7 +4467,7 @@ async function handleSiteAuthorize(
     accountHandle: auth.account.handle,
     ticket,
     csrfToken: auth.csrfToken ?? '',
-    cancelUrl: redirectUri,
+    redirectUri,
   });
   return attachCookies(page, [clearHostCookie(SITE_RETURN_COOKIE, true)]);
 }

src/server/http/site-consent-page.ts

@@ -159,6 +159,8 @@ export function siteAuthorizationErrorPage(
     headers: {
       'content-type': 'text/html; charset=utf-8',
       'cache-control': 'no-store',
+      /* Hata sayfasında form yok, o yüzden burada `no-referrer` kalabiliyor:
+       * Origin sorunu yalnız form gönderen sayfayı ilgilendiriyor. */
       'referrer-policy': 'no-referrer',
       'x-content-type-options': 'nosniff',
       'content-security-policy': "default-src 'none'; style-src 'unsafe-inline'; frame-ancestors 'none'; base-uri 'none'",
@@ -173,12 +175,19 @@ export interface SiteConsentPageInput {
   accountHandle: string;
   ticket: string;
   csrfToken: string;
-  /* Kullanıcı vazgeçerse siteye bu adresle dönüyor. */
-  cancelUrl: string;
+  /* Onaydan (ve vazgeçmeden) sonra tarayıcının gideceği site adresi.
+   *
+   * Sayfada görünmüyor; CSP'nin `form-action` listesine bu adresin kökenini
+   * eklemek için duruyor. Gerekçe aşağıda, başlığın yanında. */
+  redirectUri: string;
 }
 
 export function siteConsentPage(input: SiteConsentPageInput): Response {
   const label = escapeHtml(input.clientLabel);
+  /* `new URL(...).origin` bir temizleyici olarak da duruyor: CSP başlığına
+   * ancak şema+host+port giriyor, yani kayıtlı adres bir gün beklenmedik bir
+   * şey içerse bile başlığa boşluk ya da noktalı virgül taşıyamıyor. */
+  const redirectOrigin = new URL(input.redirectUri).origin;
   const items = input.scopes
     .map((scope) => ({ scope, text: SCOPE_TEXTS[scope] }))
     .filter((entry) => entry.text.title !== null)
@@ -246,12 +255,34 @@ geri alabilirsin.</p>
        * CSRF değeri var, ve geri tuşuyla dönülüp yeniden gönderilmesi
        * beklenmiyor. */
       'cache-control': 'no-store',
-      'referrer-policy': 'no-referrer',
+      /* `no-referrer` DEĞİL, ve bu fark staging'de öğrenildi.
+       *
+       * Referrer politikası `no-referrer` olduğunda tarayıcı, bu sayfadan
+       * çıkan form gönderiminin `Origin` başlığını literal `null` yapıyor —
+       * yani kendi politikamız, kendi köken kontrolümüzün önünü kesiyordu ve
+       * "İzin ver" düğmesi `origin_forbidden` alıyordu.
+       *
+       * `same-origin` ikisini birden veriyor: aynı kökene giden istekte gerçek
+       * Origin gönderiliyor, çapraz kökene çıkarken referrer yine hiç
+       * sızmıyor — yani siteye dönerken adresimiz ve içindeki kod başka bir
+       * yere taşınmıyor. */
+      'referrer-policy': 'same-origin',
       'x-content-type-options': 'nosniff',
       /* Sayfada hiç script yok ve olmasına gerek yok; CSP bunu kalıcı kılıyor.
        * `frame-ancestors 'none'`: onay ekranı bir iframe'in içine alınıp
-       * kullanıcıya başka bir şey gibi gösterilemez. */
-      'content-security-policy': "default-src 'none'; style-src 'unsafe-inline'; form-action 'self'; frame-ancestors 'none'; base-uri 'none'",
+       * kullanıcıya başka bir şey gibi gösterilemez.
+       *
+       * `form-action` neden `'self'` ile yetinmiyor — bu da staging'de öğrenildi.
+       * Form kendi ucumuza (`/v1/oauth/consent`) gidiyor, yani ilk adım `'self'`.
+       * Ama o uç 302 ile siteye dönüyor ve Chrome `form-action`'ı yalnız ilk
+       * adrese değil, yönlendirme zincirinin tamamına uyguluyor. `'self'` tek
+       * başınayken sonuç şuydu: istek gidiyor, izin kaydediliyor, dönüş sessizce
+       * engelleniyor — ekranda hiçbir şey olmuyor, hata da yok.
+       *
+       * Kökeni sabit yazmıyorum: hangi siteye dönüleceğini istemci kaydı
+       * söylüyor. Bu adres buraya gelmeden önce kayıtlı adres listesiyle
+       * birebir eşleştirildi, yani genişletme değil, o eşleşmenin tekrarı. */
+      'content-security-policy': `default-src 'none'; style-src 'unsafe-inline'; form-action 'self' ${redirectOrigin}; frame-ancestors 'none'; base-uri 'none'`,
     },
   });
 }