Openstaande OpenRegister PR's verwerken

[WilcoLouwerse]

Triage en afronding van de openstaande pull requests op ConductionNL/openregister.

Status

• #1432 — fix(GIT-1370): ADR cleanup pass for coverage-report Bucket 4 — gemerged

Tier 2 — Snelle kleine fixes (eerstvolgende review-sessie)

• #1437 — quote column names in ILIKE — +9/-1, deblokkeert Newman tests — let op: phpcs FAILURE, fixen vóór merge
• #1436 — normalize 'file' field in filesMultipart — +3/-2, gerichte upload-fix — let op: Newman faalt, PHPUnit pending
• #1348 — remove duplicate Organisation properties — +0/-49 — gemerged 2026-05-07 (let op: gemerged ondanks REQUEST_CHANGES — review flagde dat dit de enige property-declaraties verwijdert terwijl addType/@method/jsonSerialize ze nog gebruiken)
• #1423 — bump @conduction/nextcloud-vue beta — +6/-6, triviale bump — let op: geen checks gerapporteerd

Tier 3 — Anonimiseren project (rjzondervan)

Relevant voor het anonimiseren-project, hoeven wat mij betreft niet per sé met de bulk van vandaag mee.

• #1430 — Implement extend-schemas-in-register-service: honour _extend on RegisterService end-to-end (+1204/-246) — @rubenvdlinde graag even checken of je deze nog nodig blijft hebben
• #1431 — Implement validate-self-folder-access: HTTP 403 + audit on cross-tenant @self.folder writes (+1027/-56)

Tier 4 — Grotere PR's van rubenvdlinde (later oppakken)

Grote feature/refactor PR's:

• #1357 — declarative annotation platform (+59337/-3541, 587 bestanden)
• #1285 — mail-sidebar restore (+9727/-2918, 448 bestanden)
• #1273 — i18n bare-string wrapping (+4152/-2667, 113 bestanden)
• #1278 — repair unit test failures (+1506/-716) — gemerged 2026-05-07 (was CHANGES_REQUESTED)
• #1419 — openspec batch + 10 archives (+82123/-7412, 871 bestanden) — CHANGES_REQUESTED + CONFLICTING, rebase nodig

Spec/openspec voorstellen (lagere urgentie, vaak docs-only):

• #1300 — Pluggable integration registry umbrella + 20 leaves (+5400/-287)
• #1353 — platform capabilities catalog + 3 deltas (+726/-27)
• #1306 — add-features-roadmap-menu proposal (+1353/-0)
• #1354 — split aggregations-and-calculations (+244/-239)

Tier 5 — Dependency updates

• #1418 — Bump npm_and_yarn group, 17 updates (+271/-272)
• #1352 — Bump composer group, 3 updates (+266/-199)

Externe contributors — eigenaar lost zelf op

Deze PR's komen van externe contributors; zij moeten zelf de openstaande punten oppakken.

• #1434 — Fix JSON deleted column index migrations — @bbrands02 — APPROVED door rjzondervan, maar de meeste quality-jobs staan skipped; CI moet correct draaien
• #1259 — Updated npm package — @remko48 — zeer grote diff (+7503/-8093), eigenaar moet zelf opvolgen

[WilcoLouwerse]

Status — approved PR's + beta-target blockers

(Update: 5 van de 6 approved PR's zijn inmiddels gemerged. Zie ook eigen merges van vandaag onderaan.)

✅ Approved & ready (target = development)

• ✅ #1437 — fix(search): quote column names in ILIKE — gemerged 11:08 UTC
• ✅ #1436 — fix(FilesController): normalize file field uploads — gemerged 11:08 UTC
• ✅ #1423 — chore: bump @conduction/nextcloud-vue ^0.1.0-beta.17 — gemerged 11:09 UTC
• ✅ #1419 — feat(openspec): batch implementation + audit + 10 archives — gemerged 10:00 UTC
• ✅ #1300 — spec: Pluggable integration registry umbrella + 20 leaves — gemerged 15:31 UTC
• 🟡 #1353 — feat(openspec): platform capabilities catalog + 3 declarative-annotation deltas — APPROVED, mergeStateStatus = UNSTABLE (flaky CI), nog niet gemerged

🚧 Beta-target blockers (target = beta of via beta)

Nog geen review goedkeuring; de blocker is dat ze tegen beta mergen in plaats van development. Wachten op bevestiging van Ruben voordat deze gemerged kunnen worden — ik kan zelf niet direct naar de beta branch mergen.

• #1273 — feat(i18n): wrap bare strings — base=beta, geen review
• #1285 — fix(mail-sidebar): restore body-mount + attachment drag-drop — base=beta, geen review
• #1443 — "Beta to main" (integratie-PR beta → main, vandaag 14:43 geopend) — geen review

🗓️ Vandaag door mij gemerged (los van de approved-list hierboven)

• ConductionNL/hydra#223 — skills: retrofit naming + /opsx-verify --app mode + /report-out skill (09:03 UTC)
• ConductionNL/openregister#1432 — fix(GIT-1370): ADR cleanup pass coverage-report Bucket 4 (09:03 UTC)
• ConductionNL/openregister#1425 — chore(retrofit): consolidate archive + retrofit-DATE-DESCRIPTOR naming + .opsx-ignore (08:23 UTC)

[WilcoLouwerse]

Vervolg-werk na verwerking van deze PR-bulk — kandidaat-issues

Een scan van 482 review-comments + reviews over de 20 PR's in deze issue heeft ~50 losse punten opgeleverd die door reviewers (of door de auteur zelf) expliciet als "in een follow-up oppakken" zijn gemarkeerd — inclusief PR's die over een actieve CHANGES_REQUESTED-review heen zijn gemerged.

PR-mechanica (verkeerde base-branch, monolithische-PR-waivers, PR-specifieke phpcs/CI-failures, reeds opgeloste off-diff blockers) is uit deze lijst gefilterd. Wat overblijft zijn echte, repo-interne werkitems die ná verwerking van deze issue nog open staan.

Ze clusteren in 7 groepen. Voorstel: voor elk van onderstaande groepen een aparte GitHub-issue aanmaken op ConductionNL/openregister zodra de PR-bulk uit deze issue verwerkt is. Elke groep heeft voldoende scope om een eigen ticket te rechtvaardigen — bundelen zou hetzelfde monolithische-PR-patroon reproduceren dat in meerdere onderliggende reviews al geflagged werd.

---

1. 🔒 Multi-tenancy / cross-tenant data leaks

Net-new code in shipped PR's die rijen of state lekt over tenant-grenzen.

• publishedObjectsBypassMultiTenancy exposed without admin-only guard — #1278 (merged)
• getProcessingActivities() / findByIdentifier() returning cross-tenant data — #1278 (merged)
• AggregationRunner group-by leaks rows the caller can't read row-by-row — #1357 F04 (partially fixed; deeper per-object-ACL filter in PHP fallback + derived WHERE clause in native Postgres outstanding)
• Double access-check with mismatched currentUser contexts — #1431 (open)
• 403 body echoes attempted folder ID → folder-existence oracle for cross-tenant probes — #1431 (open)

2. 🚨 Organisation entity silent-null data-loss

Reeds in development gemerged; raakt ≥5 downstream consumers (decidesk, opencatalogi, pipelinq, procest, mydash). Reviewer's verdict was "Do not merge" — toch gemerged.

• #1348 verwijderde de enige ?array $mail/contacts/notes/todos/calendar/talk/deck property declarations op lib/Db/Organisation.php, terwijl @method (lijnen 77–90), addType() (316–322) en jsonSerialize() (751–757) ze nog gebruiken
• Op PHP 8.2+ ontvangen API-consumers stilzwijgend null voor _mail/_contacts/_notes/_todos/_calendar/_talk/_deck
• Vereist revert-of-fix-forward + regressietest

3. 📐 Spec ↔ implementation drift

Spec declareert iets dat de implementatie niet realiseert, of shipped code spreekt de spec tegen.

• computeOn: ["save", "transition:<name>"] declared in spec, geen implementation task in calculations-annotation/tasks.md — #1354
• Listener namespace inconsistency: lib/EventListener/ vs lib/Listener/ tussen sibling specs — #1354
• PlaceholderResolver dependency op aggregations-annotation niet gedeclareerd op calculations-side — #1354
• TransitionController ships with @NoCSRFRequired while spec says MUST NOT — #1353
• Spec mandates setRejectionReason/getRejectionReason on ObjectUpdatingEvent; shipped class has setErrors/getErrors — #1353
• New normative MUSTs alleen in archived spec dirs — propageren niet naar canonical openspec/specs/event-driven-architecture/spec.md — #1353

4. 🛡️ #1419 off-diff persistence + admin-gate pattern

Off-diff findings die de merge als follow-up heeft geaccepteerd.

• SchemasController::update accepts user-supplied x-openregister-notifications (server-driven persistence vector)
• TenantLifecycleService orphan validators defined-but-never-invoked (gate-6)
• OasService gate-8 off-diff persistence
• Owner-fallback: persistente separate configurer UID i.p.v. body-supplied owner
• gate-9 semantic-auth contradictie: methods dragen @NoAdminRequired terwijl body requireAdmin() doet — vuurt af op ActionsController + AuditTrailController (architecturaal patroon, geen single-line fix)

5. ⚙️ CI / test-integrity hardening

Dingen uitgezet, uitgesteld of nooit geland.

• phpunit.xml: failOnRisky=true → false en executionOrder teruggezet naar default — #1278
• Hangende unit test #4189 root cause — #1278 (remko48 meldde dat de test-runs urenlang vasthangen)
• Image digest pinning voor pgvector/pgvector:pg16 en nextcloud:32-apache — #1419
• .github/workflows/code-quality.yml pull_request types mist synchronize trigger — #1357 F02
• .github/workflows/spec-validate.yml link-checker / hydra.json validator / tasks.md checkbox-counter — #1300 (gedraft, niet geland)

6. 🔐 GitHub-issues spec security backlog (#1306)

Spec-only PR; áls deze ooit naar implementatie gaat, moeten onderstaande 8 blockers eerst dichtgetimmerd worden — anders ship je een PAT-leak + cross-tenant submission surface.

• GitHub PAT scope requirements absent from spec
• No token rotation / expiry policy
• POST /api/github/issues allows submission to any project (no allow-list)
• GET /api/github/issues proxies app-level PAT for any user-supplied repo
• Attribution prefix embeds unsanitized Nextcloud display name → GitHub markdown injection
• specRef field has no server-side format validation → injectable into body + label
• No audit logging requirement for server-PAT submissions
• hydra.json issue field is a URL string while schema requires integer

7. 🌐 i18n catalog hygiene (#1273 follow-ups)

Alle items door auteur expliciet als "deferring to a follow-up" tijdens review.

• ADR-007 sentence-case normalisation pass over l10n/en.json / l10n/nl.json (catalog-wide, tooling-driven) — inclusief de 36 sentence-cap regressions
• t('openregister', '1000') placeholder wrapper op src/modals/agent/EditAgent.vue:84 → switch naar literal :placeholder="'1000'"
• Single-word t('openregister', 'by') op src/components/workflow/ApprovalStepList.vue:18 (approval-workflow catalog gap)
• Infrastructure-default placeholders op LLMConfigModal.vue:116,181,264 (http://localhost:11434, https://api.fireworks.ai/inference/v1)
• NL word-order fragment cleanup pass
• Key-extraction tool fix zodat de truncated-key regression niet kan terugkomen

---

Bron: scan van 482 review-comments + reviews over PR's #1259 #1273 #1278 #1285 #1300 #1306 #1348 #1352 #1353 #1354 #1357 #1418 #1419 #1423 #1430 #1431 #1432 #1434 #1436 #1437. Per-PR detail (file/line + reviewer) beschikbaar op verzoek.

[WilcoLouwerse]

Korte update — vandaag aan twee open openregister PR's gewerkt:

• #1273 — feat(i18n): wrap bare strings + Dutch → English keys: 4 commits gepusht (CI/eslint --fix op mail-sidebar + AuditTrailController testfix, MWest2020 reviewcomments verwerkt, merge-conflict met development opgelost, i18n placeholder-cleanup).
• #1496 — Rubens consolidatie-PR (scholiq-deps-and-companion): 2 commits gepusht (security-review blockers verwerkt, t()-placeholders ontkleed conform #1273-review).

Beide PR's blijven open. Geen nieuwe merges in deze lijst vandaag.