ログインの***クッキー。*はHttpOnlyであり、ログラインはセッションIDの半分を運ぶ

Shipped

2026年9月24日 0:11 UTC

Author

Kamo

Commit

0eb2550

/api/login, /api/login/mfa と /api/session/select は httpOnly:false でビルドしました。 セッションチェックでアクセス可能。ただし、ログイン時にブラウザコードが表示されない。* または kamo-internal が読み込まれる さらに、kamo-internal はタブごとにセッションを運びます。 読みやすいセッションクッキーは1つのXSSから離れる セッションを盗んだので、今はHttpOnlyです。 また、ログアウト作業を意図したようにします:ログアウトページ /api/logout を呼び出すスクリプト BEFORE から全ての Cookie を削除し、 /api/logout が見つかりません。 セッションサーバー側の無効化;スクリプトは削除できません。 4つのログラインは、セッションID(またはログインOTK)の最初の32ヘックス文字を印刷しました。 印刷長さ 今.