- Verschifft
- 28. September 2026 um 09:42 UTC
- Autor
- Kamo
- Ausschuss
- b8e6f4a
EmailService's DavAuthFilter hat grundlegende Anmeldeinformationen zu ************ gepostet eine Route, die nie existierte (405), so dass seit 2026-03-19 kein Telefon (iOS, DAVx5) ein Kamo hinzufügen könnte Kalender oder Adressbuch (SP07 T37). POST /api/internal/dav/sign-in (unvorhersorgiges Präfix; X-Internal-Auth gegen internal.auth.secret, konstante Zeit, 503 wenn unet, 403 auf einem Mismatch) überprüft das Passwort die Art und Weise, wie SecurityController.login mit dem vom Client weitergeleiteten X-Forwarded-Host / X-Forwarded-For / User-Agent, und prägt keine Sitzung: - Zugangsregeln für den Host, dann für den gewählten Arbeitsplatz; ein Host, der keine Organisation nennt; - die progressive Aussperrung VOR dem Passwort verglichen wird; ein falsches Passwort zählt; - eine benutzerdefinierte Domain benennt den Arbeitsbereich; auf der Plattform hosten einen benannten Arbeitsbereich (die Web's ?org= Hinweis) oder der ein benutzerfreundliche Arbeitsbereich des Kontos, sonst CHOOSE_WORKSPACE (ein Kalender App kann nicht auswählen); - synthetisches Konto, nichtig veranschlagte Organisation, ungeprüfte E-Mail, Soft-Deleted / nicht mehr erwerbstätig / KI-Mitglied, und ein bestätigter zweiter Faktor (keine App-Passwörter existieren) verweigert werden; - recordSuccess nur einmal, wenn jedes Tor vorbei ist. Wiederholte Falschspieler-Passwords: Ein Gerät, das das gleiche abgestandene Passwort abspielt, wird abgelehnt, aber berechnet ein Streik, nicht eine pro Sync, so dass ein vergessenes Telefon kann nicht zu Fuß die Büroadresse bis zu der permanenter Block. Der Marker ist eine PBKDF2-Ableitung zu den Passwortkosten der Plattform.