- Shipped
- 5 août 2026 à 01:57 UTC
- Author
- kamo
- Commit
- 7e546ee
Mail dans le volet de lecture ouvre chaque lien dans un nouvel onglet, ce qui est juste pour le Internet entier et mal pour nous. Nos courriels de notification sont presque entièrement des liens Retour dans l'application, et envoyer ceux à une nouvelle onglet jette la session le membre a déjà et les fait s'asseoir à travers un boot froid pour atteindre une page cet onglet pourrait rendre immédiatement. La même origine est la totalité du test - octet-e égale avec la page rendant l'e-mail, non "regarde comme un domaine Kamo" et non un suffixe correspondance sur le domaine de l'organisation. C'est exactement l'ensemble des URL pour lesquelles la session en cours est valable, qui est la totalité raison de rester dans cet onglet, et il n'est pas possable par courrier: l'hôte d'un autre locataire, un lookalike, ou userinfo pointant l'hôte ailleurs sont toutes des origines différentes et Allez à un nouvel onglet comme n'importe quel autre lien d'inconnu. Routage plutôt qu'en fonction de l'affectation: une charge complète du document déchire la React arbor et détruit chaque fenêtre d'outil ouverte ainsi que tout embout non ingrat, c'est pourquoi ce repo a une porte de construction contre la navigation interne dure. Modifié et moyen Les clics sont laissés seuls - ce geste est l'utilisateur qui demande délibérément un nouvel onglet. L'écoute des parenthèses fonctionne parce que le bac à sable conserve déjà l'autorisation-même-l'origine pour la mesure de la hauteur tout en omettant des scripts de permis, donc rien de l'email lui-même jamais court; le maître est le nôtre, attaché de l'extérieur. Un piège qui vaut la peine d'être enregistré, pris par son propre test: renvoyer un chemin plutôt qu'une URL est nécessaire mais PAS suffisant. "https://host//evil.test" est véritablement de même origine, et son nom de chemin est "//evil.test" - que le routeur lit comme protocole-relatif et suit hors site. Une redirection ouverte par courriel qui passe un contrôle d'origine. Un tel lien maintenant tombe à travers un nouvel onglet, où le navigateur résout l'URL réelle et inoffensive, plutôt que d'être silencieusement réécrit à quelque part l'e-mail n'a pas indiqué.