[srikrsna]

Adds the capnweb plugin that generates the capnweb server as described in #64

[pkg-pr-new]

npm i https://pkg.pr.new/cloudflare/forge/@cloudflare/forge@65

commit: e3bce5b

[ndisidore]

a few bugs flagged by my 🤖 when looking at related things

---

 ┌──────────────────────────────────────────────────────┬─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┐
 │ Bug                                                  │ Evidence                                                                                                                                                                                                                            │
 ├──────────────────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
 │ A .. path parameter turns one operation into another │ I reproduced labels/.. resolving to /repos/octo/bound/. Against PR #65's output, updateLabel({name:"..", visibility:"public"}) was sent as a PATCH to the repo itself. The kit's pathSegment (endpoint.ts:73) already refuses this. │
 ├──────────────────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
 │ What the user approves can differ from what is sent  │ Unknown body fields are forwarded, and when two keys collide the last one wins. capnweb-validate lets extra properties through.                                                                                                     │
 ├──────────────────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
 │ Redirects replay writes                              │ Same-origin PATCH/DELETE/PUT/POST are re-sent to the Location, with body and token. I re-ran this in Node.                                                                                                                          │
 ├──────────────────────────────────────────────────────┼─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┤
 │ Errors leak data without an observation              │ ApiError.details carries the error body, and a non-JSON 2xx body is thrown whole.                                                                                                                                                   │
 └──────────────────────────────────────────────────────┴─────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────┘