- Dikirim
- 3 September 2026 pukul 18.35 UTC
- Penulis
- Kamo
- Commit
- 0b36209
Ditemukan dengan menyelidiki titik akhir yang dikerahkan, bukan dengan membacanya. Kembali palsu dari a HandshakeInterceptor aborts the handshake but set nothing on the response, so setiap penolakan - tidak ada tiket, surat tilang, asal lokasi - keluar sebagai telanjang 200 dengan tubuh kosong. Tidak ada soket pernah didirikan dan tidak ada yang membiarkan melalui, tapi dari luar penolakan itu dibedakan dari sukses, dan apa pun yang memantau titik akhir ini akan membaca satu sebagai yang lain. Sekarang 401 untuk tiket yang tidak ada, ditempa, dihabiskan atau berakhir, dan 403 untuk asal yang tidak host sedang ditangani. Alasannya tetap samar-samar pada tujuan: mengatakan sebuah tiket yang tidak diketahui selain dari yang dihabiskan adalah bagaimana Anda menyelidiki yang token ada. Sembilan tes di atas gerbang, termasuk dua yang paling penting - situs lintas jabat tangan ditolak sebelum tiket diperiksa, sehingga tiket yang valid disajikan dari asal lain tidak dihabiskan dan masih ada untuk anggota browser sendiri; dan klien tidak dapat menyebutkan sebuah akun atau sebuah sesi namun ia mendekorasi query string, karena keduanya berasal dari tiket.