- शिप
- 23 सितंबर 2026 को 8:37 am बजे UTC
- लेखक
- Kamo
- Commit
- 133a70d
करियरपब्लिक कंट्रोलर का POST /{orgRef}/alerts एक अज्ञात, unauthenticated समापन बिंदु है इस सेवा में जो हर स्वीकृत कॉल पर एक ईमेल भेजता है, कुछ भी नहीं गिटिंग कितनी बार: एक कॉलर किसी भी पते के लिए एक पुष्टिकरण लिंक मेल कर सकता है, बार-बार, किसी भी दर पर - एक के उत्पीड़न वास्तविक इनबॉक्स, या अनबाउंडेड खर्च/प्रतिनियुक्ति जोखिम मंच के अपने भेजने डोमेन पर। करियर जोड़ेंAlertThrottle (Redis-backed); हर नियम एक समय खिड़की है, इसलिए कोई स्कीमा परिवर्तन नहीं): at प्रति घंटे एक पुष्टिकरण, फिर से बेचना नहीं, जबकि 24h की पुष्टि नहीं की गई है चल रहा है, और प्रति स्रोत आईपी प्रयास टोपी। इसके अलावा, कितने असंतुष्ट पंक्तियों को एक ओर को पकड़ सकता है एक बार, इसलिए ब्रांड-नए पते की बाढ़ बिना किसी सीमा के टेबल को नहीं बढ़ा सकती है। प्रत्येक चेक जवाब चुप रहना (subscribe) अभी भी एक विशिष्ट त्रुटि सर्फ करने के बजाय 202) वापस लौटता है - अंत बिंदु के मौजूदा नियम से मेल खाती है कि एक सार्वजनिक कॉलर को कभी "थ्रोटल" बताने में सक्षम नहीं होना चाहिए। "सेन्ट" के अलावा, जो खुद को "इस एड्रेस मौजूद है" के लिए एक ओरेकल होगा। प्रति आईपी कुंजी कानूनीClientIp.resolve (सही सबसे अधिक सार्वजनिक एक्स-Forwarded-for हॉप) के माध्यम से हल है, नहीं ********************************************************************************************************************************************************************************************************************************************************************************************************************************** ******************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************************** इस सेवा में कहीं और: बाएं-सबसे हॉप एक क्लाइंट लिखते हैं, इसलिए इस पर एक थ्रॉटल की चाबी यह केवल प्रत्येक पर एक अलग मूल्य भेजकर प्रति आईपी टोपी को हराने के लिए एक हमलावर की अनुमति देगा अनुरोध कानूनी Ip के अपने वर्ग जावाडोक दस्तावेज़ वास्तव में इस विफलता मोड के लिए स्पष्ट मामला; यह सीधे यहां लागू होता है।.