- Verschickt
- 25. September 2026 um 10:17 UTC
- Autor
- Kamo
- Commit
- b826b5a
POST /api/session hat jede JSON unter einer KS= Taste gespeichert, mit einem Anrufer-ausgewählten TTL und keine Authentifizierung, durch ein eigenes Redis-Kundepaar. Die Session Redis läuft maxmemory 2gb mit allkeys-lru, so dass eine Flut von diesen Schlüsseln vertreibt jede *** und OTK und Zeichen der ganzen Plattform aus; die Redis ACL kann es nicht stoppen, weil die Route als kamo_app schreibt. Nichts lesen ein KS= Schlüssel und nichts genannt die Route (die Seite verwendet /api/session/select), so dass es gelöscht wird, und app/lib/redis.ts ist jetzt der einzige Redis-Client. Anmelden protokolliert die gesamte Sitzungstaste zweimal, und auf einem Redis-Ausfall druckte es die Ioredis Fehler, der die Argumente des gescheiterten Befehls trägt (der Schlüssel wieder). Es protokolliert jetzt weder das eine noch das andere. tests/ session-redis.test.mjs (node --testtests/*.test.mjs) Pins beide: nur app/lib/redis.ts öffnet Redis, keine Route schreibt dazu, außer das Löschen der eigenen Sitzung des Anrufers, und nein Sign-out-Log-Linie trägt die ID, bei Erfolg oder bei einem Redis-Ausfall. KamoAI SP00 Abschlussbericht I-2 und P3.