لم يعد بالإمكان التخمين دون حدود

Shipped

17 سبتمبر 2026 في 4:48 ص UTC

صاحب البلاغ

Kamo

Commit

357d3a0

كُلّ رمز قصير يُدقّقُ البريدَ أو النصوصَ المنصّةَ بدون عدّ: POST/api/recover/email/verify-code took the 8-hex-character reset code ALONE and matched it against every every every الحساب غير مسدد لمدة 30 دقيقة وأصبحت مباراة على أي حساب دورة استرداد لهذا الحساب. - POST /api/recover/sms/verify: a 6-digit texted code for a known number, 10 minutes, no count. - POST /api/recover/questions/verify and /seed/verify: security answers (a colour, a city) and seed wordss, no count. - POST /api/security/verify-email {userId, code}: a 6-digit code, 24 hours, no session. النجاح الأول ينحني مفتاح التسجيل الآلي في الحساب - POST /api/account/phone/verify: a 6-digit code proving a new recovery phone number, no count. كان عنده حدود خمس محاولات لم تنفذ لقد كتب العد وبعد ذلك رُمى، قَبضَ a @Transactional قاعدة دَفعَ الكتابةَ ظهرَ، ومعاملَة المراقبَ الخاصةَ ظهيرة فقط الرمز AtemptLimiter (Redis, fixed windows, counted BEFORE the comparison so parallel guesses cannot race past it): - 5 محاولات لساعة لكل موضوع: الحساب، العنوان المطبع، رقم الهاتف، أو الرمز. محاولة أن يستعمل الخامس الشفرة (تصفيفات محددة مُستخدمة، رموز مُنصّة مُستهلكة، رموز تسجيل مُبطلة، رمز تغيير الهاتف مستهلك. النجاح يوضح الموضوع - 30 محاولة لساعة لكل عنوان عملاء عامين، عبر جميع هذه النقاط النهائية. الخنازير الخاصة مُختلَفة منذ عنوان محترف واحد سيقف للجميع خمسون محاولاً لإعادة ضبط الشفرة فقط كل 10 دقائق، على نطاق المنصة والمرتجلات 429 مع Retry-After and retryAfterSeconds في الجسم. المُحدّد يَفْتحُ على a نفايةِ ريديس، مثل LoginThrottleService and Verification ResendRateLimiter. جميع المقارنات الآن ثابتة. The reset code is bound to an account when the request names one: verify-code accept ' email ' (the address typed on الصفحة المُعادَة، حلّتْ الطريقَ / البريد الإلكتروني/البدء يُحَلّلُه) وتُدقّقُ فقط رِفات ذلك الحسابِ. مجهول العنوان محسوب تماماً كشخص معروف الشكل الرمزي فقط لا يزال يعمل لصفحة الدخول التي لم تنشر ومع ذلك (يرسل الكامو لوجين العنوان في نفس مجموعة التغيير)، في إطار الميزانية على نطاق المنبر. الأساليب التي تكتب ما يُنفق الآن من شفرة خاطئة تُعلن عدم وجود (رولباك فور) رموز استرداد المبالغ المالية المتعددة الأطراف كانت وراءها (لوجين تروتل غيت) و 60 قطعة التحقق من هاتف (فوناج) يُنفذ حد محاولته الخاصة الاختبارات: - كود لاختبار الترهيب: النوافذ، والخامس المؤشر الأخير، وميزانيات العناوين والمنصات، والمفاتيح المحطمة، والفشل. - اختبار الاسترداد: الحساب الملزم، الإنفاق على الخامس، الرفض بعد العنوان المجهول لا يزال يعمل وينفذ، SMS، ردود أمنية. - القانون المتعلق بالامتناع عن ممارسة الشعائر: كل طريقة من خلال مُصدِّق للمعاملات الحقيقية ترتكب رفضها. - " Re RecoveryAtemptsWire testing: address and IP reach the service; 429 mapping on all three controllers. ويفشل كل من اثنا عشر متحولا (كل حد، إنفاق، إلزام، ميزانية، لا رباك) في إجراء اختبار.