- Verschickt
- 24. September 2026 um 00:15 UTC
- Autor
- Kamo
- Commit
- b0e08ac
kamo-internal bewegt die *** Session-ID aus Browser- JavaScript: es sitzt in sessionStorage und fährt jede WebSocket URL als Dass Traefiks Zugang in voller Länge aufzeichnet?***=<128-hex id", das Traefiks in voller Länge aufzeichnet. Browser WebSockets wird stattdessen tragen eine kurzlebige einmalige Schlüssel, der kamo-intern mints (POST /api/generate-otk): Redis "OTK<otk" -" die 128-hex *** id. Beide Dienste müssen es akzeptieren, bevor kamo-interne wechselt, so dass Schiffe zuerst. WebSocketAuthInterceptor liest jetzt einen Abfrageparameter und löst ihn durch ************ (neu, neben der vorhandener verbrauchender validateAndConsumeOneTimeKey für X-OTK verwendet: Dies ist ein SockJS Endpunkt, so dass eine Browser-Verbindung mehr als einen Handschlag machen kann wie es Sonden Transporte, und eine raubende Lektüre würde den Fallrückfall brechen - die Keys eigene kurze TTL begrenzt es stattdessen. Die Präzedenz ist otk, dann das Vermächtnis *** query param, dann das *** Cookie. Ein otk, der vorhanden ist, aber nicht löst, ist eine harte Zurückweisung: es fällt nie bis *** oder das Cookie, das zu dem Tab aktualisiert gehört zuletzt und würde sonst still und leise eine andere Sitzung authentifizieren. Nichts Änderungen der Beschlussfassung in der vergangenen Sitzung (Mitgliederberechtigung, Attribute). Die otk und gelöste ID werden nie protokolliert, passend zum umgebenden Code. Tests: KSessionServiceOneTimeKeyTest und WebSocketAuthInterceptorTest Cover otk Resolution und Nicht-Konsum, die Ablehnung-on-unresolved-otk preced Regel, Vermächtnis *** noch funktioniert, und keine belaubtielle Ablehnung. Sowohl die Präzedenzregel und die No-Lösch-Regel wurden von Hand mutation überprüft (jeweils auf die alte/buggy Form umzuwandeln, reproduziert eine rote Folge).