- Dikirim
- 3 Agustus 2026 pukul 03.34 UTC
- Penulis
- kamo
- Commit
- ae85a8a
remote Patterns adalah [{protokol: "https", nama host: "*"}]. Yang membuat gambar optimizer a general- purpose fetcher: penelepon apapun bisa meminta server ini untuk diambil URL apapun, tanpa pemeriksaan skema, tanpa pemeriksaan alamat, tanpa batas redirect dan tanpa ukuran batas, dari sebuah pod yang duduk di samping sebuah Redis tidak terotentikasi pada 6379, MinIO dengan root kredensial pada 9000, dan CockroachDB pada 26257. Ini mendahului pekerjaan avatar dan akan menjadi melayang-bantalan saat gambar mulai mengalir melalui itu. Mengurangi host yang diperbolehkan tidak pernah diperbaiki. Ini adalah platform white- label setiap penyewa memiliki tema sendiri. < domain > asal aset - dan berikutnya. config adalah Dievaluasi pada waktu membangun, sehingga tidak bisa mengenal mereka. Nama satu penyewa akan pecah gambar untuk semua yang lain. Jadi URL asing tidak lagi mencapai optimizer sama sekali. SafeImageSrc () menulis ulang sumber absolut https ke / api / image / proxy, yang menahannya sisi server- di belakang kontrol yang sama seperti fetcher sisi Java- DNS disematkan melalui pencarian ubahan sehingga socket menghubungkan ke alamat yang sebenarnya diperiksa (menutup rebinding jendela sebuah nama host naif pre-check daun terbuka), pengalihan ditolak, sebuah streaming ukuran cap dihitung terhadap bytes diterima daripada sebuah Kontent- Panjang sebuah bermusuhan asal-usul garis bawah, dan sebuah allowlist content -type sehingga a soft -404 page of HTML tidak pernah dirender sebagai gambar. Remote Patterns sekarang kosong terpisah dari localhost. Applied ke setiap situs panggilan membawa asal asing - email-template gambar blok (URL yang diberikan), org dan logo perangkat lunak, bertemu branding, anggota background wallpapers - dan ke situs < img > mentah juga, dimana CSP akan jika tidak mulai memblokir. Itu termasuk Contact.photoUrl, diberikan di tujuh tempat dari daerah bebas teks setiap pengguna dengan kontekt- create hak dapat ditetapkan: memproksinya menghilangkan pixel pelacakan yang tersimpan, karena server kami yang mengambil dan IP penampil dan membaca waktu tidak pernah mencapai host yang dipilih. Ditinggalkan dengan sengaja: sumber yang merupakan literals lokal (/ img /..., / logo /...). Membuktikan mereka akan menambahkan perjalanan keliling dan tidak membeli apa-apa. SafeImageSrc sengaja tidak berkonsultasi dengan 'window'. Ini berjalan selama SSR dan lagi di hydration, dan mengembalikan path kosong pada satu pass dan sebuah proxy URL di sisi lain adalah hidration tidak cocok pada setiap gambar same- asal-absolut - layak satu redundan Naik ke kasus langka untuk menjaga keduanya tetap sama. Penjaga adalah kembaran yang disengaja dari jendral jendral Java, diuji terhadap bypass yang sama - IPv4-mapped, 6to4, NAT64, CGNAT, link-local metadata - sehingga dua tidak bisa tenang menyimpang.