सत्र पथ कॉलर के स्वयं के अंग की खोज करता है, कभी भी अनुरोध शरीर नहीं करता है

शिप

23 सितंबर 2026 को 1:16 am बजे UTC

लेखक

Kamo

Commit

6488bd4

RagSearchController प्रत्येक पर JSON बॉडी से orgId/memberId/membertype पढ़ें पथ सहित अनुरोध के बजाय एक *** सत्र द्वारा प्रमाणित X-Internal-Auth। केवल VIEW KB ARTICLES के साथ एक हस्ताक्षरित सदस्य एक डाल सकता है विभिन्न org id, या एक अलग सदस्य id, शरीर में और खोज है कि org के ज्ञान का आधार या उस सदस्य के निजी नोट सीधे Qdrant के माध्यम से फ़िल्टर - सत्र ने साबित किया कि कौन पूछ रहा था लेकिन कभी भी उन्हें रोक नहीं सकता कि वे क्या कर रहे थे के लिए पूछ सकते हैं। /reindex/{orgId} और /status/{orgId} में एक समान आकार था लेवल-अप: जब कॉलर ने मैनेज KB SETTINGS को आयोजित किया तो पथ ऑर्गिड पर भरोसा किया गया। * कुछ* org में, यह जांचने के बिना उनके थे। इसे और भी बदतर बनाने के लिए, सत्रहेल्पर.hasRight एक सत्र के लिए एक सत्र के साथ सच हो गया खाली अधिकार सूची और फिर से एक के लिए कोई अधिकार क्षेत्र नहीं है, इसलिए सही सभी तीन समापन बिंदुओं की रक्षा करने की जांच उसी लापता क्षेत्र द्वारा छोड़ा जा सकता है। अब नियम: सत्र पथ पर, ऑर्ग / सदस्य / सदस्य प्रकार से प्राप्त होते हैं सत्र केवल **************** सत्र हेल्पर में जोड़ा गया, और इसके अलावा, reindex/status के लिए पथ की आवश्यकता होती है orgId सत्र के अपने बराबर होता है। org. hasRight बंद विफल रहता है, KBService से मेल खाता है। X-Internal-Auth पथ है अपरिवर्तित - एआई सेवा का अपना कोई सत्र नहीं है और अभी भी इसका नाम क्या है? शरीर में खोजना। इसके अलावा स्ट्रिंग से X-Internal-Auth गुप्त तुलना को स्विच किया गया। इसलिए टाइमिंग अंतर गुप्त एक बाइट को लीक नहीं कर सकता है समय पर। टेस्ट: सत्रहेल्पर टेस्ट पिन असफल बंद मामलों (mirrors KBService's) सूट RagSearchControllerAuthzTest पिन शरीर-विश्वास बग और Reindex/status org check, और अलग से आंतरिक-auth पथ अभी भी साबित होता है शरीर पर भरोसा करता है (AIService's only way to call). प्रत्येक को लाल प्रमाणित किया गया था इस प्रक्रिया से पहले पूर्व-फिक्स कोड के खिलाफ।.