- Shipped
- 5 de agosto de 2026 a las 1:57 UTC
- Author
- kamo
- Commit
- 7e546ee
El correo en el panel de lectura abre cada enlace en una nueva pestaña, que es la correcta para el Internet entero y mal para nosotros. Nuestros correos electrónicos de notificación son casi totalmente enlaces de vuelta a la aplicación, y enviarlos a una pestaña fresca tira la sesión la sesión el miembro ya tiene y los hace sentarse a través de una bota fría para llegar a una página de esta pestaña podría rendirse inmediatamente. El mismo origen es toda la prueba de la grada-igual con la página haciendo el correo electrónico, no "se ve como un dominio Kamo" y no un sufijo en el dominio de la org. Eso es exactamente el conjunto de URLs para la sesión actual es válido, que es la totalidad razón para permanecer en esta pestaña, y es improtable por correo: el anfitrión de otro inquilino, un parecido, o userinfo apuntando al huésped en otros lugares son todos de orígenes diferentes y ir a una nueva pestaña como el enlace de cualquier otro extraño. Entrar en lugar de asignar ubicación: una carga completa de documentos derriba el React árbol y destruye cada ventana de herramientas abierta junto con cualquier borrador no enviado, por lo que este repo tiene una puerta de construcción contra la dura navegación interna. Modificado y medio Los clics se dejan solos. Ese gesto es el usuario pidiendo deliberadamente una nueva pestaña. Escuchar al padre funciona porque la caja de arena ya mantiene el mismo origen para la medición de altura mientras se omiten los guiones de permitido, por lo que nada del correo electrónico siempre corre; el manejador es nuestro, unido desde fuera. Una trampa que vale la pena grabar, atrapada por su propia prueba: devolver un camino en lugar de una URL es necesario, pero NO suficiente. "https://host//evil.test" es genuinamente del mismo origen, y su nombre de ruta es "/evil.test" - que el router lee como protocolo-relativo y Sigue fuera del sitio. Una redirdia abierta por correo electrónico que pasa una comprobación de origen. Ese vínculo ahora cae a través de una nueva pestaña, donde el navegador resuelve la URL real e inofensiva, en lugar de ser reescrito silenciosamente a algún lugar el correo electrónico no señaló.