- Diantar
- 15 November 2026 pukul 10.27 UTC
- Pengarang
- Kamo
- Kommit
- adc476b
ID5.6 — /auth/start menerima portal (BORROWER|PATIENT) + portalHost (+ audience=CUSTOMER, relative next), lulus mereka ke federasi/mulai dan menyimpan mereka di kamo_fed_ctx di sepanjang ID1.4b hop; pasangan yang tidak terbentuk ditolak sebelum provider apapun (BAD_PORTAL card). Callback / link-confirm: PORTAL -> 303 untuk kembaliUrl hanya bila https pada tepatnya host portal aliran dimulai dengan; PORTAL_MFA -> posting MfaStep yang ada ke relay baru /api/federation/portal-mfa -> federation/portal/mfa (host portal yang ditempatkan di sisi server dalam HttpOnly kamo_portal); sebuah GAGAL membawa returnUrl pada aliran portal -> kembali ke portal. Aliran portal tidak pernah menanam ***. @kamo/auth 0.6.1 memetakan hasil yang tidak diketahui ke ERROR, sehingga rute membaca jawaban mentah pertama (lib/signin/portal.mjs) dan jika tidak rute persis seperti sebelumnya. ID5.7 — kamo_did (HttpOnly, Aman, Lax, 400 hari, 32 byte acak) diciptakan ketika tidak ada dan dikirim sebagai X-Kamo-Device-Id pada setiap relay log-in (login, mfa, select, federasi mulai/callback/link, tanpa sandi, passkeys, SSO/SAML; tidak pernah dicetak pada formulir cross-site POST). PASSKEY_REQUIRED dari /api/login, MFA, select, federasi dan jawaban tanpa kata sandi membuka "Organisasi Anda Minta Administrator Untuk Menggunakan Kunci Passkey": Gunakan Anda Passkey / Cipta Passkey Sekarang **************** / Lanjutkan Untuk Sekarang (hanya ketika canContinue), lalu hand-off normal. Nudge kata sandi yang dilanggar setelah log masuk PASSWORD (SHA-1 di browser, 5-hex prefix to /api/pwned with Add-Padding + 1.5 s, fail-quiet) with Change It Now / Remind Me Later and a fire-and-forget signin/breach-nudge dengan yang ditanam ***. New /secure-account?t= page. Refusal cards for Pasword_Reset_Required (dengan Reset My Password), STAFF_ACCOUNT, BAD_PORTAL, NO_PORTAL_ACCOUNT. Setiap cabang baru tidak berbahaya sementara securityservice tidak menjawabnya (404/unknown -> perilaku hari ini). Verifikasi: npm test 134/134 (31 baru), tsc bersih, check-i18n-keys melawan kamus yang didorong, harness shots.