- Expédié
- 10 septembre 2026 à 20:21 UTC
- Auteur
- Kamo
- Commite
- 7d23fde
forward(), forwardWebhook() et forwardCallback() copié chaque entrant en-tête à l'exception de l'hôte (et, pour les deux sans session, les en-têtes des titres de certification) sur la demande amont. BillingService est autoriséTout et prend le Réclamation de l'appelant, membre et mode de Dieu de X-Org-Id, X-Membre-Id et X-God-Mode-Active, donc une demande à api.-domain-/api/billing/- pourrait agir comme tout membre, administrateurs de plate-forme inclus. Services de sécurité /api/sûreté/droits/me indique la même façon X-Membre-Id. Les trois copient maintenant par l'intermédiaire d'InboundHeaders.copyInto. Il laisse tomber X-Org-Id, X-Member-Id, X-User-Id, X-God-Mode-Active, X-Member-Type, X-Public-Chat-Org-Id, X-Public-Chat-Key-Hash et tout en-tête X-Sudo-z, et bâche les noms abandonnés avec le chemin et l'adresse paire. Les en-têtes sont déposés sans condition parce qu'aucun appelant ne s'appuie sur une passerelle qui les porte. Les expéditeurs légitimes (facturation de la kémo-interne, les prestations et les mandataires de la LOS, les clients du signe électronique et le propre service contrôleurs validés) tous les appels directs au service cible, et 362 appels forward() toujours dans les journaux de bord des gousses en direct ne transportaient aucun de ces documents en-têtes. Bande de signature, signatures de transporteur, X-z-toyen, X-OTK, cookie et l'autorisation passe exactement comme avant. api-route fait également également tourner l'intergiciel Traefik Traefik d'abord. Que Middleware vit dans KlusterServices et doit être appliqué avant ce manifeste, ou Traefik rejette l'itinéraire api et tous les an. IdentityHeaderStrippingTest pilote chaque chemin vers l'avant avec une parodie demande et inspecte la demande en amont. Il échoue également si un fichier source n'est pas fourni. autres que les EROCHAK énurése les en-têtes des clients.