- Verschifft
- 28. August 2026 um 02:59 UTC
- Autor
- Kamo
- Ausschuss
- ce4d901
"Öffnen in neuem Tab" war "fenster.open(location.href, '_blank', 'noopener,noreferrer') ". Die Session-ID ist nicht in einem Cookie - es lebt in sessionStorage, pro Tab, weil Organisationen ohne eigene Domain einen Host und einen Cookie pro Herkunft. wäre ein einzelner Slot jeder Tab könnte überschreiben. "window.open" legacy-clones Lager Schuppen nur, während die Opener Beziehung überlebt, und "noopener" (implied von auch "noreferrer" schneidet genau das ab. Der neue Tab startete daher mit einem leeren Speicher, fand keine Sitzung, und prallte auf die Login-Seite. Es sah aus, als ob es funktionierte, weil es gerettet wurde: der Tab landete auf Login.*, wo Auto-Login das nur Host-only *** Cookie gelesen und zurück in die org. Entfernen, dass vorwärts ist, was dies ausgesetzt, so dass die Taste ist eher fixiert als die Umleitung wiederhergestellt - es hatte nie eine Sitzung von seiner eigenen durchgeführt. Es verwendet jetzt den gleichen One-Time-Key-Handshake wie jeder andere Cross-Tab-Eintrag: offen über:blank synchron innerhalb des Klicks (ein Warten zuerst verliert vorübergehende Aktivierung und WebKit blockiert das Popup), Minze und OTK, dann navigieren zu /validate mit der aktuellen Seite in "next". Das OTK löst sich zur SAME-Sitzung, also die neue tab ist wirklich eine andere Instanz der gleichen Org, auf der Seite, die es geöffnet wurde. "newtab" ist als Dokument-Ladung OTK-Bedingung registriert. Ein nicht aufgeführter Zweck ist nicht abgelehnt - es fällt stillschweigend zurück auf eine 10er TTL, auf die /api/validate sich nicht verlassen kann Überleben, da es liest den Schlüssel zurück von einem Redis REPLICA und retries Replikation hinken, bevor die App sogar bootet. Drei Dinge, vor denen die Zweitfensternotizen gewarnt haben und das vermeidet: Der Schlüssel geht weiter /validate mit dem Ziel in "next", weil der Rand jedes beliebige "?otk=" umschreibt den Originalpfad anfordern /validate und verwirft; das Ziel ist eine absolute URL gehalten in einer Variablen, weil eine wörtliche zugeordnet zugeordnet zugeordnet check-client-Navigation und der Docker bauen damit; und /validate ist ein Pre-Session-Pfad, so dass es nicht unterzeichnen die frische Registerkarte aus, während es nicht authentifiziert.