- Cambia
- 14 de octubre de 2026 a las 23:02 UTC
- Autor
- Kamo
- Comprometerse
- f527486
Un visitante en el sitio web de un prestamista ahora puede enviar documentos, imágenes, cremalleras y ordinarios audio/vídeo al agente en la pestaña Live Support, y lee ambos sus propios archivos y el agente. Scripts, autoruns y ejecutables son rechazados. La puerta es PublicVisitorAttachmentPolicy, juzgada contra los bytes en lugar de la nombre o tipo declarado: una lista de extensión por defecto (por última extensión, con extensiones internas peligrosas, sobresueldos bidi y puntos de seguimiento Windows rechazados), bytes mágicos que deben coincidir con la familia reclamada, PE/ELF/Mach-O rechazó cualquier cosa nombre, texto que realmente debe ser texto, y archivos ZIP-familia leer a través de su central directorio solamente (sin descompresión) — no ejecutables, archivos anidados, simpatizantes o ruta traversal in a .zip; no macros, paquetes ActiveX o OLE incrustados en Office/OpenDocument; no proyecto VBA o objeto empaquetado en OLE2 legado; ningún objeto incrustado en RTF. Nuevos puntos de final (detrás de la puerta clave/origin/rate de APIService, sesión-token autorizada): - ¿Qué? (multipart "files", 1-5, 25 MB cada uno) - GET habitHEAD .../attachments/{objImgId} y .../preview (same cabeceras de seguridad como la ruta miembro, ahora compartido a través de AttachmentResponses) - POST .../mesajes acepta "apegos": [{imgId, sortId}] — sólo las propias subidas del visitante en esta conversación; filas de historia llevan apegos en la forma de miembro. Los archivos visitantes se almacenan como cualquier accesorio de chat (CHAT ATTACHMENT, el guid de sesión, creado por el miembro del sistema de la org) por lo que la ventana del agente los hace sin cambios. sendSupportMessage anuncia ahora todo (NATS marco con accesorios, actividad con hasAttachments, pending count) after commit, and is @RetryOnDbConflict.