- Expédié
- 26 août 2026 à 03:15 UTC
- Auteur
- Kamo
- Commite
- 5eb7ab6
Le lien est livré sous la forme d'une URL, de sorte qu'il se trouve dans l'historique du navigateur et dans le la liste de rouvrir l'onglet fermé, où elle survit longtemps la session pour laquelle elle a été frappée. Jusqu'à présent, il restait répliqué pour toute la fenêtre symbolique, et j'avais élargi cette fenêtre de cinq minutes à huit heures pour réparer la falaise de reconnectement. La conséquence, démontrée contre la porte d'entrée en direct: après la fin du travail et fermer tout, rejouer ce lien de l'histoire a frappé un NOUVEAU EN MARQUE la session dans la VM pour le reste de la journée, survivant à un redémarrage du navigateur, avec pas de mot de passe. J'ai signalé l'élargissement comme un compromis URL divulgué à l'époque, qui sous-vendu. guacamole-auth-json impose une utilisation unique côté serveur: UserDataService.fromCredentials enregistre la signature du blob dans un UserDataDenylist au premier remboursement, de sorte qu'il ne dépend pas de quoi que ce soit que le navigateur fait. Vérifié en direct - le deuxième le rachat du même blob est refusé avec 403. Mettez sur le TOKEN, pas sur ses connexions. L'utilisation unique par connexion est un un champ différent qui supprime la connexion du jeton lors de la première connexion et briserait chaque reconnectement; un test pinait maintenant cette distinction. Coût, accepté délibérément: rafraîchir l'onglet de bureau ne rouvre plus le session, parce que le rafraîchissement ne dépense rien. Le retour est l'icône de Kamo.