- Verschickt
- 24. September 2026 um 01:31 UTC
- Autor
- Kamo
- Commit
- 46191c4
Die 15 Stellen eines Hakens öffnet eine STOMP/SockJS-Verbindung zu MediaService (media.<domain?/ws) oder E-Service (über die /email-ws-Rews-Rewrite) setzen Sie die raw 128-char *** Session-ID auf den Abfragestring Das Zugangsprotokoll von Traefik hielt es im Klartext, solange es eines aufbewahrt. Diese ID ist auch überhaupt nicht mehr lesbar aus dem Seitenskript (App/lib/sessionHandle besiegelt es), also war der Wert über zu verschwinden von diesen Haken unabhängig. Ein Haken prägt jetzt stattdessen einen einmaligen Schlüssel: ************ POSTs /api/generate-otk?purpose=ws (ein 64-hex-char-Schlüssel, 30 s TTL) und übergibt ihn dem Stompjs Client "beforeConnect", welches Stompjs vor jeder Verbindung UND jede Wiederverbindung erwartet - so ein Haken, der Wiedervernetzt eine Stunde später noch einen frischen Schlüssel, anstatt einen abgestandenen zu wiederholen. Jeder webSocketFactory liest die neueste Taste in dem Moment, in dem es die SockJS-URL erstellt (?otk=<key?); gescheiterte Minze versucht immer noch die Verbindung ohne Schlüssel, die das Backend verweigert, und Stompjs retries nach der WiederverbindungDelay. Die bestehenden "gibt es eine Sitzung überhaupt" Tore sind unberührt. immer noch lesen sessionStorage direkt für diese Wahrhaftigkeits-Check, die in Ordnung ist und nichts mit der Wert gehen auf dem Draht. **************** verfehlt jetzt auch jede Client-Datei (Tests ausgenommen - sie benennen es verbietet es), die immer noch eine URL mit "***=" erstellt, die auf mintWsKey zeigt. Es fand genau diese 15 Websites auf Herkunft/Hauptmain; keiner bleibt, und die Wiederherstellung eines alten Hakens schaltet ihn rot. MediaService (b0e08ac2) und EmailService (279723a4) akzeptieren bereits zuerst geprüft und nicht verbraucht, ein unbekannter Schlüssel abgelehnt, das Vermächtnis noch für ältere Kunden akzeptiert. und beide führen diese Commits. Tests: wsSessionAuth.test.ts, **************** (vitest sammelt jetzt App/Hooks/**/__tests__); Typen/@stomp__stompjs.d.ts erklärt vorConnect.