- भेजा गया
- 24 सितंबर 2026 को 12:09 am बजे UTC
- लेखक
- Kamo
- कमिट
- 3e3c3e7
*** सेट पठनीय (httpOnly:false) और कई प्रतिक्रियाओं ने कच्चे सत्र को आईडी को सौंप दिया। ब्राउज़र पेज स्क्रिप्ट एक कुकी के HttpOnly झंडा का उपयोग नहीं कर सकता अगर एक समापन बिंदु मूल्य वापस पढ़ता है: - /api/session/extend and/api/session/info लौटे सत्रInfo.sessionId, /api/user-info लौटे यह TokenId, /api/debug/cookies के रूप में *** Value. वे अब एक 8-character पूर्वावलोकन वापस लौटते हैं (केवल एकमात्र) उपभोक्ता सिस्टम डीबग स्क्रीन था। - /वैलिड को कोई सत्र गेट के साथ परोसा जाता है और हर कुकी VALUE को पृष्ठ पर भेज दिया जाता है - सर्वर, जो HttpOnly कुकीज़ को भी देखता है। यह अब नाम और आकार दिखाता है। - /api/session/extend पौधों *** httpOnly: सच। ब्राउज़र अभी भी इसे इवेंटसोर्सेस में भेजता है, <img>/<video> और /meet/join कि उस पर निर्भर करता है; स्क्रिप्ट अब इसे पढ़ा नहीं सकता है। - ************* अब भी किसी भी *** कुकी संयंत्र पठनीय विफल रहता है। अगले चरण के लिए ग्राउंडवर्क, जब तक /api/validate शुरू होता है, तब तक निष्क्रिय होता है: - app/lib/sessionHandle.ts: एक टैब का सत्र HANDLE 128-hex id है जो AES-256-GCM के तहत सील है। SESSION HANDLE SECRET से एक प्रमुख व्युत्पन्न (HKDF) और HttpOnly में एक यादृच्छिक प्रति ब्राउज़र कुंजी Host-KBK कुकी। वास्तव में 128 वर्ण, इसलिए प्रत्येक मौजूदा क्लाइंट चेक इसे स्वीकार करता है; बेकार में किसी अन्य ब्राउज़र; छेड़छाड़ टैग विफल रहता है। सत्रHandle.test.ts सील / खुला, विदेशी कवर ब्राउज़र, छेड़छाड़, कोई रहस्य नहीं। - प्रॉक्सी.ts एक्स-***-टोकन में मार्ग के लिए वास्तविक आईडी में पहुंचने वाला एक हैंडल खोलता है, इसलिए ~180 जो मार्ग पढ़ते हैं कि हेडर को कोई परिवर्तन की आवश्यकता नहीं है; एक हैंडल जो हेडर दोनों को नहीं छोड़ता है और इसके बजाय साझा *** कुकी मार्ग को दूसरे टैब के सत्र में वापस आने की अनुमति देती है। The मैचर में अब शामिल हैं /api/:path* स्पष्ट रूप से (स्थिर फ़ाइल नियम छोड़ दिया /api/*.png). - /api/generate-otk लाभ उद्देश्य = ws (30 s) WebSocket हैंडशेक के लिए; Logout ब्राउज़र कुंजी रखता है (अन्य टैब्स हैंडल उस पर निर्भर करते हैं)। - k8s/deployment.yaml kamo-internal-session-handle रहस्य (समूह में बनाया गया) माउंट करता है।.