- Verschifft
- 8. September 2026 um 01:51 UTC
- Autor
- Kamo
- Ausschuss
- 53edef7
Der Catch-all re-encodes jedes Segment, und der Kommentar behauptete, dass es bedeutete konnte immer nur die Schach-API adressieren. "encodeURIKomponente('..') ist ".. dots sind nicht kodiert und der URL-Parser im Inneren holt das Segment auf, so "chess/../sessions/x" hätte das Präfix für ein anderes von MediaService's verlassen Controller. Gebundet statt gefährlich: der OTK ist die eigene Sitzung des Anrufers und jeder endpoint erzwingt seine eigene Auth, so dass nichts erreichbar ist, dass der Anrufer könnte nicht bereits über die eigene Route zu erreichen. Aber es machte einen Anspruch in den Kommentar falsch, und diese Behauptung ist die Art, auf die sich ein Leser bei der Entscheidung dieser Datei verlässt sicher, allein zu lassen. Segmente von '', '' und '..' werden jetzt komplett abgelehnt. Nichts Rechtmäßiges ist verloren: Jeder Schachpfad sind feste Wörter, UUIDs und numerische Mitglieds-IDs.