एक टैब का सत्र एक सीलबंद हैंडल है - आईडी कभी पृष्ठ स्क्रिप्ट तक नहीं पहुंचता

शिप

24 सितंबर 2026 को 12:12 am बजे UTC

लेखक

Kamo

Commit

5e771ef

/api/validate वह जगह है जहां एक टैब पहले अपने सत्र को सीखता है, और यह 128-hex *** id लौटा देता है। सत्रस्टोरेज में रखने के लिए पृष्ठ - पृष्ठ में चल रही किसी भी स्क्रिप्ट द्वारा पठनीय, और एक उपयोगी सत्र एक बार पढ़ा गया। यह अब एक हाथ लौटाता है: आईडी सील (app/lib/session) संभालना, भेज दिया SESSION HANDLE SECRET के तहत 3e3c3e7a और इस ब्राउज़र की कुंजी, जो यहां पहली बार लगाया जाता है। एक HttpOnly Host-KBK कुकी के रूप में। पेज स्टोर करता है और वास्तव में संभाल भेजता है क्योंकि यह आईडी था; प्रॉक्सी.ts इसे हर / एपी मार्ग के लिए आईडी में खोलता है; WebSockets एक बार की चाबियाँ के साथ प्रमाणित करते हैं (previous प्रतिबद्ध). स्क्रिप्ट अभी भी अपने ही पृष्ठ में कार्य कर सकता है, लेकिन यह अब सत्र नहीं ले सकता है। बंद: संभाल किसी अन्य ब्राउज़र में खुला नहीं है। बिना SESSION HANDLE SECRET (एक स्थानीय रन) आईडी को पहले से सौंप दिया जाता है। पहले सत्यापित टैब यह उनकी हेक्स आईडी रखता है, जो प्रॉक्सी उम्र बढ़ने तक गुजरता है। ValidateHandle.test.ts: हैंडल + HttpOnly कुंजी जो इसे खोलती है; एक मौजूदा कुंजी का पुन: उपयोग किया जाता है; कोई रहस्य नहीं -> id (2 of 3 red with the old recess).