- Verschickt
- 13. November 2026 um 08:43 UTC
- Autor
- Kamo
- Commit
- f4ad947
Ein Verified Recipients doc-Link auf sign.<org> leitet einen Neuling zu register.<apex>/member?doc=<die URL der Dokumentationsseite>. Spiegelt die Karriere-Anwendungen. - Die URL wird nur als https://sign.<this apex>/<xx>/d/<43-char token> akzeptiert Abfrage, Fragment, Port oder Anmeldeinformationen) und geparkt im kamo_doc_return-Apex Dieses Cookie wird gespeichert, damit es die E-Mail-Verifizierung in einem anderen Tab überlebt. Die eigene Übergabe des Sign-Hosts kann nur zu dieser Dokumentseite zurückkehren. - In der Kopfzeile steht "Erstellen Sie Ihr Konto, um {Dokument} von {Absender} zu öffnen" Vom Sign-Host (/api/doc/<token>/hint, dort geparkt, als es das Sign-In gate), niemals von der URL, so dass ein gefälschter Link keine Wörter auf diese Seite setzen kann; Ohne sie steht "...öffnen Sie das Dokument, das mit Ihnen geteilt wurde". - Der Einmalschlüssel für die automatische Sitzung geht an <doc page>/session?otk= anstatt an internal.<apex>/validate und jeden Anmeldelink (Header, verknüpftes Konto, Die E-Mail-Adresse (registriert, E-Mail verifiziert, bereits verifiziert) enthält ?return=<doc page>.