टैब से सत्र पढ़ें, साझा कुकी जार नहीं

शिप

24 अगस्त 2026 को 11:05 pm बजे UTC

लेखक

kamo

Commit

1b1c236

46 क्लाइंट मॉड्यूल दस्तावेज़ से बाहर आईडी पढ़ने के लिए। कुकी और उसे भेजा X-*** टोकन सत्रस्टोरेज प्रति-TAB है; एक कुकी प्रति-ORIGIN है। जबकि प्रत्येक संगठन के पास अपने आप का एक मेजबान नाम था जो एक ही सीमा थी, इसलिए इससे कोई फर्क नहीं पड़ता। एक डोमेन के बिना संगठनों की सेवा करना साझा मेजबान समाप्त होता है: कुकी एक एकल स्लॉट बन जाती है, कोई भी टैब हो सकता है अधिलेखन, इसलिए एक टैब अलग संगठन के सत्र को एक अलग से भेज सकता है। यह प्रदर्शित होता है। ज्यादातर यह पहले से ही मास्क किया गया था। InstallSessionLayer() पैच विंडो। लदान सत्र से X-*** टोकन सेट करने के लिए उसी ओरिएजिन /api /* कॉल पर स्टोरेज, और headers.set() overwrites, इसलिए एक स्पष्ट कुकी-सोर्सड हेडर आम तौर पर होता है प्रतिस्थापित - इन कॉल साइटों में से प्रत्येक एक समान मूल / एपी / * है, और कोई नहीं एक WebSocket या किसी अन्य मूल को छूता है। आम तौर पर हमेशा नहीं है: पैच जब सत्रस्टोरेज एक टोकन होता है तो केवल आग लग जाती है, इसलिए एक ताजा खुला टैब के साथ खाली स्टोर जो कुछ भी कुकी रखती है भेजता है। यह मामला है। app/logout/page.tsx अपने कुकी लिखते रहता है - उन्हें साफ़ करना यह है कि कैसे एक सत्र टूट गया है -- और उपयोगSmsWebSocket.ts पहले से ही माइग्रेट किया गया था; इसका document.cookie एक टिप्पणी में है कि इसका उपयोग क्यों नहीं किया जाना चाहिए। चेक-सिशन-टोकन-source.mjs लाइन रखता है, उन दो स्वीकार्य सूची के साथ और उनके कारण दर्ज किए गए। यह मिलान करने से पहले टिप्पणी स्ट्रिप्स, इसलिए इस बात की व्याख्या क्यों कुकी से बचा जाता है, इसके उपयोग के रूप में नहीं पढ़ता है। दो फाइलें CRLF थीं और एक नेव फिर से लिखना उन्हें पूरी तरह से फिर से प्रवाहित कर दिया; वे थे वैसे ही, इसलिए दीफ प्रतिस्थापन और कुछ नहीं है। 2882 परीक्षण और सभी 8 गार्ड पास करते हैं। उत्पादन का निर्माण नहीं किया जा सकता स्थानीय रूप से - अन्य सत्र लगातार अगले बिल्ड लॉक को पकड़ते हैं - लेकिन tsc इस तरह के कोड के पहले पूर्ण निर्माण सफल रहा है; केवल लाइन इसके बाद समाप्त हो गया।.