- Przesyłane
- 14 października 2026 16:16 UTC
- Autor
- Kamo
- Zgłoszenie
- 618ee73
state was base64 JSON {orgId, nonce, provider} build by the calling, the nonce nigdy nie był przechowywany ani sprawdzany, a bezsesyjny telefon zaufania dekodowany orgId - każdy może dołączyć swoje własne konto Zoom lub Microsoft do innego org. MeetingOAuthStateStore wydaje teraz losowy 64- hex token związany z org, członek i dostawca (10- minutowy TTL); telefon zwrotny wydaje go z GETDEL, jeden komenda atomowa, więc podrobione, przeterminowane, odtwarzane lub równocześnie drugi telefon zwrotny jest odrzucany przed powołaniem usługodawcy. Przekierowanie-URI patrzy w górę spojrzenia. Odświeżenie Token nie miał zamka i napisał wewnątrz transakcji dzwoniącego podczas Zoom obraca token odświeżający przy każdym użyciu: dwie krople odświeżające naraz zostawił jeden, trzymając wycofany żeton. Odświeżanie If Needed teraz bierze Redis zamek na (org, provider) (30 s lease, owner- checked release), ponownie czyta wiersz w WYMAGANIA _ NOWA transakcja (kelner zwykle znajduje nowy grant zwycięzcy i nigdy nie wydaje token odświeżania), i przechowuje wynik poprzez MeetingOAuthTokenWriter (WYMAGANIA _ NOWE), popełnione przed zwolnieniem zamka.