- Expédié
- 3 septembre 2026 à 18:35 UTC
- Auteur
- Kamo
- Commite
- 0b36209
Trouvé en sondant le critère d'évaluation déployé, et non en le lisant. Retour de faux de a HandshakeInterceptor avorte la poignée de main mais ne met rien sur la réponse, donc tout refus - pas de billet, billet falsifié, origine inter-sites - est sorti comme une nue 200 avec un corps vide. Aucune prise n'a jamais été établie et rien n'a été laissé par l'intermédiaire, mais de l'extérieur, un refus était indiscernable du succès, et Tout ce qui surveille ce point d'extrémité aurait été lirait l'un comme l'autre. Maintenant 401 pour un billet qui est absent, falsifié, dépensé ou expiré, et 403 pour un origine qui n'est pas l'hôte traité. La raison reste exprès: dire un billet inconnu en dehors d'un ticket dépensé est la façon dont vous sondez pour lequel des jetons existaient. Neuf essais sur la porte, y compris les deux qui importent le plus - un site inter-ses. poignée de main est refusé AVANT que le billet soit regardé, donc un ticket valide présenté d'une autre origine n'est pas dépensée et est toujours là pour le propre navigateur du membre; et le client ne peut pas nommer un compte ou une session, quelle que soit la manière dont il décore une chaîne de requête, parce que les deux viennent du ticket.