- Expédié
- 3 août 2026 à 15:09 UTC
- Auteur
- Kamo
- Commite
- 3cb118c
SecurityService relie désormais la connexion à un deuxième facteur (- 164,312(d)). Quand on est qui lui a créé la session, mais retient sa clé unique, en retournant une Un mot de défi de courte durée à la place - une session que personne n'a d'OTK pour est inatteignable. Ce BFF s'attendait à un oneTimeKey inconditionnellement, de sorte qu'un défi de l'AMF est tombé dans la branche "pas de clé de session reçue" et est venue à l'utilisateur en tant que 500. Il est maintenant reconnaît le défi et passe mfaRequired/mfaToken au client. /api/login/mfa le complète. À partir de l'OTK, il remue la connexion existante l'envoi de l'itinéraire mot et résolution à partir de Redis, des biscuits clairs, définir le nouveau, parce que deux mises en œuvre de la session dériveraient et celle utilisée Moins souvent serait celle qui pourrit. Un mauvais code retourne 401 avec mfaRequired toujours vrai et le même mfaToken: SecurityService ne consomme délibérément pas le défi en cas d'échec, de sorte que l'utilisateur réarime le code plutôt que le mot de passe. Force d'un nouveau mot de passe sur un La faute clé est la façon dont les gens finissent par désactiver l'AMF. Inerte jusqu'à ce que quelqu'un s'inscrive; personne n'en a.