- Dikirim
- 23 September 2026 pukul 11.36 UTC
- Penulis
- Kamo
- Commit
- a3d6885
POST / convert -vector dan WS / ws / pipeline sama sekali tidak mengambil auth - 4820f44 capped ukuran upload dan konversi konkurensi tetapi meninggalkan lubang aktual terbuka tertunda keputusan tentang bagaimana mengotorisasi roger WebSocket mentah, karena bukan pembawa token maupun kamo- internal sendiri X-OTK header adalah pilihan disana (sebuah WebSocket tidak dapat menset header gubahan, dan satu kali kunci dalam string query WS akan mendarat di Traefik / log akses). Rute Traefik / vector- ws / * langsung ke layanan ini, lewat kamo- internal 's APIService gateway sepenuhnya, sehingga siapa saja yang bisa mencapai pod ini - yang per * * * * * * * * * * * * berarti siapa pun di internet - bisa menjalankannya dari CPU / memori gratis, atau menggunakannya sebagai anonymous image- proksi konversi. Perbaikan: keduanya adalah kode peramban same- asal sama di internal. < domain >, jadi peramban sudah mengirim cookie sesi * * pada setiap permintaan ke layanan ini, sama seperti yang dilakukannya ke kamo- internal itu sendiri. layanan / sesi _ scril.py cek bahwa cookie persis seperti kamo- internal cek satu server- side (aplikasi / lib / ksemSesionShared.ts / sessionServer.ts / apiProxy.ts semua setuju pada bentuk): nilai cookie IS id sesi, hanya valid pada karakter hex 128, dan sesi ini valid ketika Redis memiliki sesuatu di "* * *" + bahwa id - read- hanya, dari replika, dengan sama 5- percobaan / 2s coba kamo- rute internal sendiri digunakan untuk mentolerir replikasi lag. Sebuah kesalahan Redis jumlah sebagai "tidak ditemukan" daripada melambaikan penelepon melalui. - POST / convert-vector: 401 sebelum upload bahkan dibaca. - WS / w / pipeline: menerima () masih terjadi (uvicorn hanya memberikan kode dekat WS yang nyata - di sini 1008, pelanggaran kebijakan - sekali jabat tangan telah dimulai; penutupan sebelum menerima runtuh ke telanjang HTTP 403 dengan kode dibuang), kemudian menutup segera, sebelum frame apapun dibaca. - k8s / configmap.yaml mendapat * * * * * * * * * * kamo- internal sendiri konfigurasi membawa - ini cluster 's Redis tidak memiliki ACL, jadi PASSWORD kosong di mana-mana dikonsumsi, tidak harfiah berdiri dalam untuk Secret yang tidak ada. - Jangan pernah log nilai cookie atau id sesi (kunci Redis IS ID, hanya prefix). / kesehatan tetap terbuka, sengaja - tidak ada di sini mengubahnya. Tes: test _ session _ writ.pys. Mutasi - diperiksa dengan membalikkan main. py dua situs panggilan lokal: Tes penolakan HTTP-side gagal (converter mengejek dipanggil daripada dilewatkan) dan WebSocket- tes sisi hang langsung (tidak pernah menutup sambungan) - keduanya mengkonfirmasi penjaga load- bearing; dipulihkan setelah. Jarak yang dikenal, di luar lingkup di sini: kamo-internal local-dev path (NEXT _ PUBLIC _ IMAGE _ PIPELINE _ URL / localhost: 8000) memanggil layanan ini cross- asal, dan tidak logoVectorize.ts 's fetch () maupun use ImagePipeline.ts WebSocket mengirimkan kredensial lintas asal secara baku, sehingga lokal dev terhadap sebuah vektorservice lokal sekarang akan 401 / 1008 pada kedua titik akhir. Produksi tidak terpengaruh (same- asal).