Każdy uścisk dłoni terminala znajdował się 403 za przestępczą krawędzią

FixSecurityService
Szycy
3 września 2026 20:48 UTC
Autor
Kamo
Pochęt się
4dde535

Zgłoszony objaw był terminalem, który został otwarty i natychmiast powiedział "Połączony", nie ma nic do działania. Reprodukowany koniec do końca: miętówki biletowe Grzywna (200) i uścisk WebSocket odpowiada 403. Spring dodaje do swojego własnego OriginHandshakeInterceptor PO aplikacji, oraz Bez dozwolonego pochodzenia, spada z powrotem do WebUtils.isSameOrigin, który Porównuje Pochodzenie przeglądarki z schematem i portem, który widzi. Za pełnomocnikiem określającym TLS te nigdy nie mogą się zgodzić - https://internal.host wobec http://internal.host:80 — więc odmówiła każdej prawdziwej przeglądarki, podczas gdy Bilet, który trzymał, był całkowicie ważny. Ukrywał się niezwykle dobrze, a wcześniejsza weryfikacja jest powodem. Uścisk dłoni bez Ważny bilet jest odrzucany przez TerminalHandshakeInterceptor jako pierwszy i nigdy nie dociera Wiosenna kontrola, więc sondowanie punktu końcowego nieuwierzytelnianego zwróciło dokładnie 401 Powinno – i nie udowodniło nic o drodze, którą faktycznie podąża członek. Każdy z nas Sprawdziłem, że minął, gdy funkcja była zepsuta dla wszystkich. Pochodzenie jest nadal sprawdzane przez TerminalHandshakeInterceptor, przeciwko Hostowi Nagłówek, który przetrwał pełnomocnika. Kontrola ta jest bardziej rygorystyczna z tych dwóch: ona również Odrzuca uścisk dłoni bez Origin w ogóle i nie potrzebuje listy per-domain. Trzy testy przypiąć rejestrację – ścieżka, przechwytujący i osoby niepełnosprawne Sprawdzanie tego samego pochodzenia - więc "uciekanie" domyślnego zwrotu przywraca awarię raczej - niż ostrzeżenie.

Wszystkie zmiany

Jak to, co widzisz żeglugę?

Każda z tych aktualizacji automatycznie ląduje w miejscu pracy. Zacznij za darmo i obserwuj, jak rośnie tydzień po tygodniu.

Start Free ForeverZobacz ceny