/api/los Proxy HMAC-signiert Identitätskopfer

Verschifft

28. Mai 2026 um 23:53 UTC

Autor

kamo

Ausschuss

f0e813f

Wenn LOS_PROXY_HMAC_SECRET env var gesetzt ist, berechnet der Proxy jetzt ************ Geheimnis) und sendet X-Proxy-Signature + X-Proxy-Timestamp neben dem X-Org-Id / X-Member-Id Header. KamoLOSs neuer ProxyHmacFilter bestätigt dies (60er Schieflage, konstant-Zeit-Verglichenheit) so dass ein Kunde kommto-intern umgeht kann nicht mehr Identitätskopf-Führer fälschen. Unset secret = local-dev pass-through (Filter deaktiviert am Backend Seite auch).