- Shipped
- 24 września 2026 00:15 UTC
- Author
- Kamo
- Commit
- 279723a
Ta sama zmiana, co mediaservice: Kamo-internal przesuwa id sesji * * * z przeglądarki JavaScript, off sessionStorage i poza każdym URL WebSocket ('? * * * = < 128- hex id >', zapisane w całości przez dziennik dostępu Traefika) i na krótkoterminowy klucz jednokrotny to mints poprzez POST / api / generate- otk. Redis 'OTK < otk >' - > 128- hex * * * id. Obie usługi muszą to zaakceptować wcześniej Kamowewnętrzne przełączniki, więc ten statek pierwszy. WebSocketAuthInterceptor teraz czyta parametr 'otk' query i rozwiązuje go - Nie. (nowy, obok Istniejąca walidacjaAndConsumeOneTimeKey stosowana dla X- OTK): Punkt końcowy SockJS, więc jedno połączenie przeglądarki może zrobić więcej niż jeden uścisk dłoni jak sonda transportuje, a czasochłonny odczyt złamie zapas - Key 's short TTL ogranicza to zamiast tego. Prewencja jest otk, następnie dziedzictwo * * * query param, a następnie * * * cookie. Otk, który jest obecny, ale nie rozwiązuje jest trudne odrzucenie: nigdy nie spada do * * * lub cookies, które należą do każdej karty odświeżone ostatni i w inny sposób po cichu uwierzytelnić inną sesję. Nic. zmiany w rozdzielczości sesji w przeszłości. Wydra i rozwiązany id nigdy nie są logowane, pasujące do otaczającego kodu. Testy: KSessionServiceOneTimeKeyTest i WebSocketAuthInterceptorTest rozdzielczość otk i niekonsumpcja, precedens odrzuca- na - nierozwiązany - otk zasada, spuścizna * * * nadal działa, i nie-uznania odrzucenia. Zarówno zasada precedensu i reguła no- delete zostały sprawdzone ręcznie (wracając do starego / buggy kształtu odtwarza czerwony bieg).