- Shipped
- 28 settembre 2026 alle ore 10:15 UTC
- Author
- Kamo
- Commit
- 96bebee
Il javadoc ha detto /api/internal/dav/sign-in è stato raggiunto sopra ClusterIP, come se questo fosse l'unico In arrivo. Non è: klusterservices E' il momento giusto. percorsi interno. E' un metodo che raggiunge questo metodo. Internet (un GET di sola lettura oggi ottiene il proprio 404 SecurityService per il percorso a strisce). Il codice già detiene: X-Internal-Auth viene confrontato in tempo costante prima che qualsiasi credenziale sia controllato. Il javadoc ora dice così, nomi entrambi i sentieri, e proibisce rilassare il cancello su dove un la richiesta sembra provenire da. Due test inviano una richiesta a forma di bordo del percorso (indirizzo remoto cluster di Traefik, X-Forwarded-Prefix, intestazioni client-chosen inoltrate) senza segreto e con quelli sbagliati: 403, e l'assegno non viene mai chiamato. Una mutazione che si fida di 10.* l'indirizzo remoto non riesce esattamente questi due test.