LD-Signature Bypass via JSON-LD Named-Graph Restructuring · Advisory · mastodon/mastodon · GitHub
https://github.com/mastodon/mastodon/security/advisories/GHSA-chgx-jx3p-rf73
というかこれ、“Named-Graph”とあるけど、本当に*named* graphだったらカノニカルなN-Quadsにも影響するわけだから、問題になるのはデフォルトグラフに対する明示的な`@graph`の場合だけでは。そしてデフォルトグラフの判定は“plain JSON”の処理としても比較的容易なのだから[^1]、一律の拒否でなくデフォルトグラフの場合だけ検出して弾くとかで良くないだろうか
[^1]: <https://www.w3.org/TR/2020/REC-json-ld11-20200716/#named-graphs>のこのケースのみのはず：“When a JSON-LD document's top-level structure is a map that contains no other keys than `@graph` and optionally `@context` (properties that are not mapped to an IRI or a keyword are ignored), `@graph` is considered to express the otherwise implicit default graph.”
Claire氏が`@graph`は使われていないと述べたときにさっと`proof`の例を出せれば良かったのだろうけど、失敗したな
いや、Mastodonの場合はcompaction contextに`security`コンテクストを含んでいるから、問題にはならないか。あくまでMastodonに限った話ではあるけど
ここはやはり`"@container": "@graph"`を使う拡張をぶち上げて混乱を招くしか……（？）：
https://github.com/w3c/activitypub/issues/408#issuecomment-2040939335
(2024-04-06)
実際、オブジェクトの版の表現として名前付きグラフはありだと思いません？（こいつまた変なこと言っているよ）：
```jsonc
{
"id": "/note/42/version/1",
"@graph": {
"id": "/note/42",
"type": "Note",
/* … */
}
}
```
正月飾りなどで日の丸国旗をお持ちの皆さん、今のうちに処分しておかないと将来犯罪になるかも！？ 日本国国章断捨離ラストチャンス！
