- भेजा गया
- 24 सितंबर 2026 को 1:31 am बजे UTC
- लेखक
- Kamo
- कमिट
- 46191c4
15 स्थानों पर एक हुक मीडियासर्विस (मीडिया.<domain>/ws) के लिए एक STOMP/SockJS कनेक्शन खोलता है। ईमेल सेवा (email-ws rewrite के माध्यम से) क्वेरी स्ट्रिंग पर कच्चे 128-char *** सत्र आईडी डाल दिया (==<token>) — ट्रेफिक की एक्सेस लॉग ने इसे क्लीयरटेक्स्ट में तब तक रखा जब तक यह एक रहता है। Id है पेज स्क्रिप्ट से अब तक पठनीय नहीं है (app/lib/session) हैंडल इसे सील करता है, इसलिए मान था इन हुक से गायब होने के बारे में। एक हुक अब इसके बजाय एक बार की कुंजी को मिंट करता है: ************* पोस्ट /api/generate-otk? उद्देश्य = ws (a 64-hex-char key, 30 s TTL) और इसे stompjs क्लाइंट के लिए हाथ देता है `beforeConnect`, जो हर कनेक्ट से पहले stompjs का इंतजार करता है और हर बार फिर से कनेक्ट हो जाता है - इसलिए एक हुक जो कि एक घंटे बाद फिर से कनेक्ट हो जाता है, फिर भी एक ताजा कुंजी को फिर से खेलना बजाय। हर WebSocketफैक्टरी उस समय नवीनतम कुंजी पढ़ता है जब यह SockJS URL (`?otk=<key>`); a असफल टकसाल अभी भी कोई कुंजी के साथ कनेक्ट करने का प्रयास करता है, जो बैकेंड मना करता है, और स्टाम्पजेएस रिट्रीज़ डिले को फिर से जोड़ने के बाद। मौजूदा "सभी पर एक सत्र है" गेट्स untouched हैं - कई हुक अभी भी पढ़े सत्रउस सच्चाई की जांच के लिए सीधे स्टोरेज करें, जो कि ठीक है और उससे संबंधित नहीं है। मूल्य तार पर बाहर जा रहा है। ************* अब किसी भी क्लाइंट फ़ाइल को विफल कर देता है (टेस्ट्स छूट - वे इसे नाम देते हैं) यह मना कर दिया कि अभी भी `*** =` के साथ एक यूआरएल बनाता है, mintWsKey पर इंगित करता है। यह वास्तव में इन 15 मूल / मुख्य पर साइटें; कोई नहीं रहता, और एक पुराना हुक बहाल करना इसे लाल हो जाता है। मीडियासर्विस (b0e08ac2) और ईमेलसर्विस (279723a4) पहले से ही `?otk=` को स्वीकार करते हैं - पहले की जाँच करें और नहीं भस्म, एक अज्ञात कुंजी बाहर से इनकार कर दिया, विरासत `?***=` अभी भी पुराने ग्राहकों के लिए स्वीकार किया - और दोनों ही उन प्रतिबद्धताओं को चलाते हैं। टेस्ट: WsSessionAuth.test.ts, ********** (हालांकि अब ऐप/हुक/**/ tests ); प्रकार/@stomp stompjs.d.ts कनेक्ट करने से पहले घोषित करते हैं।.