कभी भी ग्राहक की आपूर्ति की गई पहचान हेडर अपस्ट्रीम

शिप

10 सितंबर 2026 को 8:21 pm बजे UTC

लेखक

Kamo

करना

7d23fde

आगे (), आगेवेबहुक () और आगे कॉलबैक () ने प्रत्येक पलटाव को कॉपी किया मेजबान को छोड़कर हेडर (और, सत्र रहित दो के लिए, क्रेडेंशियल हेडर) अपस्ट्रीम अनुरोध पर। बिलिंगसेवा की अनुमति हैसभी और लेता है X-Org-Id, X-Member-Id से कॉलर का org, सदस्य और देवता-मोड दावा और X-God-Mode-Active, तो api.<domain>/api/billing/* के लिए एक अनुरोध के रूप में कार्य कर सकते हैं किसी भी सदस्य, प्लेटफ़ॉर्म व्यवस्थापक को शामिल किया गया। सुरक्षा सेवा /api/security/entitlement/me read X-Member-Id उसी तरह। सभी तीन अब InboundHeaders.copyInto के माध्यम से प्रतिलिपि बनाते हैं। यह X-Org-Id ड्रॉप, X-Member-Id, X-User-Id, X-God-Mode-Active, X-Member-type, एक्स-पब्लिक-Chat-Org-Id, X-पब्लिक-Chat-Key-Hash और किसी भी X-Sudo-* हेडर, और नीचे दिए गए नामों को पथ और सहकर्मी पते के साथ लॉग इन करें। हेडर को बिना शर्त छोड़ दिया जाता है क्योंकि कोई कॉलर पर निर्भर नहीं करता है प्रवेश द्वार वैध प्रेषक (कैमो-आंतरिक बिलिंग) पात्रता और LOS प्रॉक्सी, e-sign ग्राहकों, और इस सेवा के अपने स्वयं के कुंजी-वैलिड कंट्रोलर) सभी सीधे लक्ष्य सेवा को बुलाते हैं, और 362 आगे () लाइव पॉड्स लॉग्स में अभी भी कॉल करता है, इनमें से कोई नहीं हेडर स्ट्राइप-सिग्नचर, वाहक हस्ताक्षर, X-*** टोकन, X-OTK, कुकी और प्राधिकरण वास्तव में पहले के रूप में पारित करते हैं। अब एपी-रूट भी स्ट्रिप-आइडेंटिटी-हेडर्स ट्रेफिक मिडलवेयर चलाता है पहला। कि Middleware KlusterServices में रहता है और पहले लागू किया जाना चाहिए यह प्रकट होता है, या ट्रेफिक ने एपी-रूट और हर एपी को अस्वीकार कर दिया।* मेजबान 404s। पहचानहेडरस्ट्रिपिंग टेस्ट एक spoofed के साथ हर आगे पथ ड्राइव अनुरोध करता है और अपस्ट्रीम अनुरोध का निरीक्षण करता है। यह भी विफल रहता है अगर किसी भी स्रोत फ़ाइल InboundHeaders के अलावा अन्य ग्राहक headers enumerates।.