- Enviado
- 25 de septiembre de 2026 a las 10:17 UTC
- Autor
- Kamo
- Commit
- b826b5a
POST /api/session guardó cualquier JSON bajo cualquier llave KS=, con un TTL elegido por el llamante y no autenticación, a través de un par de clientes de Redis. La sesión Redis corre maxmemory 2gb con allkeys-lru, así que una inundación de esas llaves desaloja cada *** y OTK y firma todo plataforma fuera; el Redis ACL no puede detenerlo porque la ruta escribe como kamo app. Nada lee una KS= llave y nada llamado la ruta (la página utiliza /api/session/select), por lo que se elimina, y app/lib/redis.ts es ahora el único cliente de Redis. Se registró la clave de sesión completa dos veces, y en un fallo de Redis imprimió la ioredis error, que lleva los argumentos del comando fallido (la clave de nuevo). Ahora tampoco se registra. test/session-redis.test.mjs (node --test tests/*.test.mjs) pins both: only app/lib/redis.ts abre Redis, ninguna ruta le escribe excepto el registro borrando la propia sesión del llamador, y no La línea de registro de salida lleva el id, el éxito o un fallo de Redis. KamoAI SP00 examen final I-2 y P3.