Zusammenfassung

  • JMAP Enhanced Result References kann Werte aus früheren Methodenantworten per JSON Pointer oder optionalem JSONPath in spätere Eigenschaften, Patches und Filter übernehmen.
  • JSONPath ist dabei nicht bloß Metadatum, sondern ausführbare Auswahl: Rekursion, Filter und große Knotenlisten benötigen harte Budgets. Bei Überschreitung muss der Server ablehnen, statt die Beweismenge zu kürzen.

Die Zeichenkette des Ausdrucks passte bequem in eine Logzeile. Ein rekursiver Descent suchte nach einer häufig vorkommenden Eigenschaft. Auf Testdaten lieferte er drei Werte; in Produktion enthielt die Antwort tausende verschachtelte Objekte. Die Knotenliste wuchs, Kopien wurden angelegt, und der nachfolgende Methodenaufruf wartete auf ein Ergebnis, das er in dieser Größe nie sinnvoll hätte verwenden können.

Die erste Reaktion war, nur die ersten Treffer zu behalten. Damit wäre die CPU geschützt und die Anfrage grün geworden. Doch eine abgeschnittene Auswahl ist nicht mehr die Auswahl, die der Client angefordert hat. Aus einem Ressourcenproblem wäre eine lautlose Änderung der Evidenz geworden.

Genau deshalb ist der Sicherheitsrand von JMAP Enhanced Result References auch ein Governance-Rand. Revision 02 trägt das Datum 21. Juni 2026 und läuft am 23. Dezember 2026 ab. Zum Recherchezeitpunkt war sie ein aktiver Internet-Draft der JMAP-Arbeitsgruppe auf dem Standards-Track-Weg, keine endgültige RFC und kein Nachweis über Implementierung oder Verbreitung.

Der Entwurf erweitert die Ergebnisreferenzen aus RFC 8620. Methoden in einer JMAP-Anfrage werden nacheinander ausgeführt. Ein späterer Aufruf bezeichnet eine frühere Antwort mit resultOf und name und wählt daraus über path Daten. Die Erweiterung erlaubt solche Referenzen in /set-Eigenschaften, PatchObject-Werten und FilterCondition-Objekten von /query. Neben JSON Pointer kann ein Server optional JSONPath anbieten.

Damit wird eine Pfadangabe zu einem Teil der Ausführungsplanung. Wer sie nur als Zeichenkette behandelt, übersieht Kosten und Wirkung.

Ausdruckslänge ist kein Kostenmodell

JSON Pointer verfolgt eine konkrete strukturelle Route. Sein Aufwand ist vergleichsweise gut an der Tiefe des Dokuments abzulesen. JSONPath kann Wildcards, Filter und rekursiven Descent einsetzen. Ein kurzer Ausdruck kann deshalb sehr viele Knoten prüfen oder zurückgeben.

Das Risiko wächst durch Verkettung. Mehrere Referenzen können dieselbe große Antwort durchlaufen. Verschachtelte Werte können komplexe Objekte kopieren. FilterCondition-Objekte können Referenzen in mehreren Ebenen enthalten. Die sequenzielle Ausführung verhindert eine einfache direkte Kreisreferenz, nicht aber eine pathologische Folge teurer Operationen.

Ein belastbarer Server begrenzt deshalb nicht nur die Länge der Eingabe. Er braucht Budgets für Ausdruckskomplexität, Auswertungszeit, Größe der Knotenliste, Anzahl der Referenzen pro Anfrage und Methode, Verschachtelungstiefe und kumulierte Kosten.

Diese Budgets müssen vorhersagbar wirken. Ein Client soll erkennen können, dass invalidResultReference aus einer überschrittenen Grenze stammt. Ein stiller Teil-Erfolg wäre besonders gefährlich: Der nächste Aufruf sähe einen gültigen Wert, obwohl der Resolver einen Teil der angeforderten Daten verwarf.

Für eine skalare Zieleigenschaft könnte das Abschneiden sogar eine falsche Eindeutigkeit erzeugen. Die vollständige Auswertung findet mehrere Knoten und müsste ablehnen; ein auf den ersten Treffer begrenztes Ergebnis sieht nach genau einem Knoten aus. Ressourcenschutz hätte damit eine Auswahlentscheidung erfunden.

Kardinalität ist nicht bloß ein Typdetail

Der Entwurf definiert die Abbildung der JSONPath-Knotenliste auf den erwarteten Zieltyp. Für einen primitiven Wert oder ein einzelnes Objekt wird genau ein Knoten übernommen, null Knoten werden zu null, mehrere führen zu invalidResultReference. Für Arrays wird null zu [], und ein oder mehrere Knoten werden in RFC-9535-Reihenfolge übernommen. Für Maps wird null zu {}; nur ein passendes Objekt ist zulässig.

Diese Regeln schützen Interoperabilität und bewahren Unsicherheit. Mehrere Treffer für ein Einzelziel sagen: Es fehlt eine begründete Auswahlregel. „Nimm den ersten“ macht Dokumentreihenfolge zur Priorität. „Nimm den neuesten“ ist nur dann legitim, wenn eine zuständige Richtlinie Aktualität tatsächlich zum Kriterium erklärt.

Auch null Treffer tragen Bedeutung. null kann eine vorhandene Eigenschaft löschen. [] kann „keine Kandidaten“ oder „entferne alle Mitglieder“ bedeuten. {} kann keine Zusatzwerte oder vollständigen Ersatz durch eine leere Map heißen. Der Resolver bestimmt die Form, nicht die geschäftliche Folge.

JSON Pointer setzt eine weitere Grenze. Fehlt ein exakter Pfad ohne Wildcard, ist das ein Fehler. Eine Wildcard-Auswahl ohne Treffer kann dagegen einen typisierten Leerwert erzeugen. Wer von Pointer zu einem breiteren Ausdruck wechselt, um Fehler zu vermeiden, kann Abwesenheit in einen Zustandsbefehl verwandeln.

Limits und Kardinalität gehören daher in dasselbe Protokoll der Entscheidung: vollständige oder abgebrochene Auswertung, Trefferzahl, Zieltyp und resultierende Form.

Der Parser ist ausführbarer Teil der Angriffsfläche

JSONPath ist eine Ausdruckssprache. Parser und Evaluator verarbeiten nicht nur Daten, sondern steuern Traversierung und Filterung. Eine ungepflegte Bibliothek, ein unbeschränkter Filter oder ein Stackproblem bei tiefer Rekursion kann die Stabilität des Dienstes bestimmen.

Wartung, Sicherheitsupdates, Isolation und Tests mit gegnerischen Ausdrücken sind daher keine nebensächlichen Implementierungsfragen. Der Evaluator sollte keine unkontrollierten Ressourcen teilen, deren Erschöpfung andere Konten oder Methoden beeinträchtigt.

Mandantenbezogene Quoten sind wichtig. Ein globales Limit kann zwar den Prozess retten, aber ein lauter Mandant könnte das Budget anderer Nutzer verbrauchen. Umgekehrt darf eine Cache-Schicht teure Ergebnisse nicht zwischen Sicherheitskontexten teilen, nur weil sie Rechenzeit sparen möchte.

Zeitunterschiede können selbst Information preisgeben. Ob ein Ausdruck schnell aus dem Cache kommt oder lange traversiert, kann Hinweise auf Existenz, Größe oder frühere Nutzung eines Pfads geben. Ressourcensteuerung und Vertraulichkeit sind deshalb verbunden.

Ein nützliches Monitoring zeigt nicht nur Latenz. Es verknüpft Ausdrucksklasse, untersuchte und zurückgegebene Knoten, Speicher, Abbruchgrund, Konto, Principal und nachfolgende Wirkung.

Ein korrektes Ergebnis kann im falschen Kontext landen

Ressourcenlimits lösen nicht das Autoritätsproblem. Eine kleine Knotenliste kann einen privaten blobId in ein öffentliches Objekt übertragen. Eine einzelne, korrekt typisierte Mailbox-ID kann einen Filter in einem anderen Konto steuern.

Leseberechtigung an der Quelle und Schreibberechtigung am Ziel ergeben nicht automatisch die Erlaubnis, Daten zwischen beiden zu bewegen. Support- und Administratorkonten machen diese Lücke sichtbar: Sie können breite Einsicht und lokale Schreibrechte haben, ohne jedes gefundene Datum veröffentlichen zu dürfen.

Der Entwurf warnt vor Datenabfluss zwischen Kontexten und fordert nachvollziehbare Ableitung. Ein Audit sollte Quellkonto, Principal, Sichtbarkeit, Ausdruck und Trefferzahl mit Zielkonto, Eigenschaft oder Filter, Publikum und Autorisierungsentscheidung verbinden.

Ein technisches Capability-Signal ersetzt diese Prüfung nicht. urn:ietf:params:jmap:refplus zeigt, dass ein Server die Erweiterung versteht; jsonPath zeigt optionale Sprachunterstützung. Beides ist Teilnahmefähigkeit, kein Mandat für jede mögliche Datenbewegung.

Die schlanke Schichtenlehre von Heng Lu hält diese Rollen auseinander. Der Resolver wählt JSON. Die Methodenschicht validiert einen Zieltyp. Die autorisierende Schicht entscheidet über Kontext und Folge. Keine Schicht sollte aus ihrer technischen Beteiligung institutionelle Zuständigkeit ableiten.

Typprüfung darf nicht durch Bequemlichkeit verschwinden

Nach der Auflösung validiert die Methode den Wert. Eine unpassende /set-Eigenschaft führt zu invalidProperties; ein unpassender /query-Filter zu invalidArguments. Der Entwurf untersagt bequeme Umwandlungen von Strings in Zahlen oder Boolesche Werte sowie die Serialisierung komplexer Objekte in Strings, nur damit das Ziel sie annimmt.

Diese Ablehnung bewahrt Bedeutung. Der String "01" kann eine Kennung sein, die Zahl 1 eine Menge. Automatische Konvertierung ist eine Interpretation. Sie benötigt eine verantwortete Regel und darf nicht als Reparatur der Transportebene erscheinen.

Selbst ein exakter Typ beweist keine semantische Eignung. Eine gültige Kennung kann zum falschen Tenant gehören. Ein Objekt kann der Schemaform entsprechen und dennoch Daten enthalten, die im Zielpublikum unzulässig sind.

Typ-, Domänen- und Autorisierungsprüfung müssen als getrennte Belege sichtbar bleiben. Ein grünes Gesamtsignal ist bequem, aber es zeigt nicht, welche Frage tatsächlich beantwortet wurde.

Die Zwischenschicht darf unwissend bleiben

Der Entwurf erlaubt einer syntaktischen Zwischenschicht, Pointer oder Path auf opakem JSON anzuwenden, ohne Methodentypen und Feldeigenschaften zu verstehen. Erst die Ausführungsschicht interpretiert das Ergebnis gegen die Zieldefinition.

Das ist eine gute Architektur. Ein gemeinsames Gateway kann Auflösung anbieten, ohne jedes Datenmodell zu duplizieren. Es ist zugleich eine Beweisgrenze: Die Zwischenschicht kann Ausdruck, Antwort und Knotenliste belegen; sie kann nicht feststellen, ob die ausgewählten Werte die richtige Geschäftsentscheidung darstellen.

Ein prüfbarer Beleg enthält deshalb beide Seiten. Von der Auflösung: resultOf, Methodenname, Ausdruck, vollständige Trefferzahl, Kosten und Sicherheitskontext. Vom Ziel: Eigenschaft oder Filter, erwarteter Typ, Validierung, Autorisierung und Wirkung.

Nur den Endzustand zu speichern, vernichtet die Erklärung, wie ein Wert Einfluss erhielt. Nur die Kosten zu speichern, verschweigt, welchen Datensatz das Budget begrenzte. Governance braucht technische Details gerade deshalb, weil sie den Umfang der Aussage begrenzen.

Cache-Gewinne dürfen keine ACL überspringen

Ausdrucksergebnisse lassen sich wiederverwenden. Gleiche Antwort und gleicher Pfad erzeugen oft gleiche Knoten. Doch die Erlaubnis zur Nutzung hängt von Principal, Konto und Zugriffszustand ab.

Verliert ein Nutzer nach der ersten Auswertung seine Mitgliedschaft, kann das strukturelle Ergebnis identisch bleiben und dennoch unzulässig werden. Der Entwurf verlangt Trennung zwischen Nutzern und Sicherheitskontexten sowie Invalidierung bei ACL-Änderungen.

Ein vertretbarer Cache-Schlüssel bindet Identität, Konto, relevante Berechtigungen und Policy-Epoche. Für sensible Transfers gehört das Ziel hinzu. Logs unterscheiden neue Auswertung und Wiederverwendung und nennen den Grund, weshalb der Eintrag noch gültig war.

Ein Cache-Hit belegt das Finden eines Schlüssels. Ob der Schlüssel alle autorisierungsrelevanten Tatsachen enthält, ist eine separate Architekturentscheidung.

Ablehnung ist ein ehrlicher Ausgang

Laufender Code sollte kurze, aber explosive Ausdrücke, tiefe Verschachtelung, große Knotenlisten und kumulierte Referenzketten testen. Er sollte bestätigen, dass Limits ablehnen statt abschneiden und dass andere Mandanten weiterarbeiten können.

Ebenso nötig sind Tests für null, einen und mehrere Treffer je Zieltyp, fehlende Pointer, leere Wildcards, falsche Konten, ACL-Wechsel und private Daten im öffentlichen Ziel. Anschließend muss ein Prüfer den Endzustand bis zur Quellantwort und zum Autorisierungszeitpunkt zurückverfolgen können.

Der kurze Pfad war keine kleine Operation. Noch wichtiger: Seine vollständige Knotenliste war Teil der Bedeutung. Ein System, das Ressourcen schützt, indem es die Auswahl heimlich verändert, rettet die Verfügbarkeit auf Kosten der Wahrheit. Erweiterte Ergebnisreferenzen verdienen harte Grenzen — und ebenso harte Ehrlichkeit darüber, wann sie nicht vollständig ausgeführt wurden.

Quellen