- Verschifft
- 3. August 2026 um 03:39 UTC
- Autor
- Kamo
- Ausschuss
- 8eb4164
ResourceServerConfig ist anyRequest().permitAll() und @EnableMethodSecurity erscheint nirgendwo in diesem Service, so dass jeder @PreAuthorize ist träge und öffentlich ist die Standard. Autorisierung ist eine Pro-Handler-Konvention, was bedeutet, ein Handler, dass vergisst, dass es ohne Anmeldeinformationen durch APIServices nicht authentifiziert erreichbar ist /api/security/** Relais. Fünf Fälle von genau, dass in dieser Woche behoben wurden ************ hat überhaupt keinen HttpServletRequest und die JobTitle/Department PUT und DELETE Handler akzeptieren Rechte[]. Die Korrektur von Instanzen repariert die Klasse nicht. Ein Scan findet 406 von 1034 kartiert Endpunkte in diesem Service ohne Sitzungsauflösung oder Rechte Helfer überall in der Handler-Körper. Dies basiert auf diesen und scheitert am Build auf jedem NEUEN, so dass Zähler kann nur fallen. Ein zweiter Test fällt aus, wenn ein Grundlinieneintrag nicht mehr mit einem unbewachten übereinstimmt Endpunkt. Um einen Handler zu reparieren, muss daher seine Linie gestrichen werden, was auch. macht die Zahl tatsächlich bewegen, anstatt die Datei in einem Friedhof verrotten zu lassen dass jeder aufhört zu lesen. Bewährt durch Mutation in beide Richtungen: Hinzufügen eines unbewachten Endpunktes versagt und benennt es; indem Sie einen Wächter zu einem Basis-Handler hinzufügen, ohne seine Linie zu entfernen, versagt und benennt das auch. Bewusst grob, und es ist KEIN Autorisierungsprüfung. Ein Körper zählt als bewacht, wenn es einen bekannten Helfer erwähnt, so Abwesenheit von der Grundlinie bedeutet "einmal überprüft", nie "bewiesen sicher". Einige Basiseinträge sind korrekt öffentlich (Login, Passwort-Wiederaufnahme, Webhooks, SSR org Suche), einige delegieren den Scheck in ein Service und eine unbekannte Anzahl sind wirklich nicht authentifiziert. Triage ist WS-1 in kamo-interne **************** Der Wert hier ist die Ratsche, nicht das Urteil.