- Shipped
- 2026年11月15日 10:27 UTC
- Author
- Kamo
- Commit
- adc476b
ID5.6 — /auth/start はポータル (BORROWER|PATIENT) + portalHost (+ audience=CUSTOMER, relative next) を受け入れ、通過 ID1.4bホップを通じて kamo_fed_ctxに保持します どのプロバイダでも (BAD_PORTALカード)。コールバック/リンク確認: PORTAL -> 303 は https のときのみ返します ポータルホストがフローを始めました PORTAL_MFA -> 既存のMfaStepを新しいリレーにポストします /api/federation/portal-mfa -> federation/portal/mfa (HttpOnly kamo_portal でサーバ側に保持されているポートホスト); ポータルフロー上で returnUrl を持つエラーが発生し、ポータルフローに戻ります。ポータルフローは *** を設定しません。 @kamo/auth 0.6.1 は未知の結果を ERROR にマッピングし、ルートは最初に原始応答を読み込む (lib/signin/portal.mjs) それ以外は 前と同じルートです。 ID5.7 — kamo_did (HttpOnly, Secure, Lax, 400 days, 32 random bytes) は不在時に作成され、以下のように送信されます X-Kamo-Device-Id は、各ログインリレー (ログイン、mfa、選択、連邦開始/呼び戻し/リンク、パスワードなし、ログアウト) に設定されます /api/loginからの PASSKEY_REQUIRED、MFA、select、passkeys、SSO/SAML、クロスサイトフォーム POSTで作成されることはありません フェデレーションとパスワードなしの回答が開きます "あなたの組織は管理者にパスキーを使用するよう要求します": あなたのパスキーを使用してください パスキー / 現在のパスキーを作成 **************** / 現在のために続ける パスワードログイン後の パスワード破棄ナッジ /api/pwned への 5-hex プレフィックス (Add-Padding + 1.5s, fail-quiet) と 火を放って忘れろ 入力を忘れろ 侵入を止めろ 新しい /secure-account?t=ページ パスワードのリセットが必要な場合は、スタッフアカウント、悪いポータル、ノーポータルアカウントを使用してください。 セキュリティサービスが応答しない限り、新しいブランチは無害である（404/unknown→今日の振る舞い）。 検証: npmテスト 134/134 (新規31), tscクリーン, プッシュされた辞書とのチェック-i18nキー, ハーネスショット。