- Verschickt
- 24. September 2026 um 00:15 UTC
- Autor
- Kamo
- Commit
- 279723a
Gleiche Änderung wie Mediaservice: kamo-internal bewegt die ***-Sitzung aus dem Browser JavaScript, off sessionStorage und off every WebSocket URL (>?***=<128-Hex-ID", vollständig von Traefiks Zugangsprotokoll aufgezeichnet) und auf ein Kurzlebige Einmal-Taste es prägt über POST /api/generate-otk. Redis Die 128-Hex ***-ID. Beide Dienste müssen es vor kamo-interne Umschalte, also wird diese zuerst ausgeliefert. WebSocketAuthInterceptor liest jetzt einen Abfrageparameter und löst ihn durch **************** (neu, neben der vorhandener verbrauchendes ValatAndConsumeOneTimeKey für X-OTK verwendet: Dies ist ein SockJS Endpunkt, so dass eine Browser-Verbindung mehr als einen Handschlag machen kann wie es untersucht Transporte, und eine raubende Lektüre würde den Fallrückfall brechen - die Keys eigene kurze TTL begrenzt es stattdessen. Die Präzedenz ist otk, dann die legacy *** query param, dann das *** Cookie. Ein otk, der vorhanden ist, aber nicht löst, ist eine harte Zurückweisung: es fällt nie durch *** oder das Cookie, das zu dem Tab aktualisiert gehört zuletzt und würde sonst still eine andere Sitzung authentifizieren. Nichts Änderungen der Beschlussfassung in der vergangenen Sitzung. Die otk und gelöste ID werden nie protokolliert, passend zum umgebenden Code. Tests: KSessionServiceOneTimeKeyTest und WebSocketAuthInterceptorTest Cover otk Auflösung und Nicht-Konsum, die Ablehnung-auf-ungelöst-otk preced Regel, Vermächtnis *** noch funktioniert, und keine körnliche Ablehnung. Sowohl die Vorrangregel und die No-Lösch-Regel wurden von Hand mutation überprüft (jeweils in die alte/buggy Form umzukehren, reproduziert eine rote Laufe).