- Szycy
- 3 sierpnia 2026 03:21 UTC
- Autor
- Kamo
- Pochęt się
- d1f1544
Punkty końcowe personelu w /api/security/commerce/cycytaty i nieuwierzytelnisty desolwator Na /api/security/public/cytaty. QuoteController rozszerza BaseLosController zamiast kopiować POSController's Preambuła: CallerSessionResolver akceptuje atrybut X-OTK, X-a-Token Nagłówek I plik cookie, w którym prywatny POSController getOrgId czyta tylko Atrybut OTK. Każdy obsługujący prawa jest gięty (VIEW/MANAGE/SEND_QUOTES). Większość z nich Powierzchnia handlowa jest tylko sesyjny – każdy uwierzytelniony członek dowolnego orgu może mutować rozkazy – i to jest celowo nie powtarzane tutaj, ponieważ cytat zobowiązuje org do ceny przed klientem. QuotePublicController nie potrzebuje wydzielenia bezpieczeństwa: Spring Chain jest dowolnyProśba().wykonujAll() i OTKPreAuthFilter działa tylko na nagłówek X-OTK, który Przeglądarka po e-mailowym linku nigdy nie wysyła. Punkty projektowe: - Token pojawia się w ciele POST, nigdy adres URL. Zażądanie dzienników APIApp.forward() Linie i poświadczenia posiadacza na ścieżce wylądowałyby w tych kłodach. - Nie wyliczanie wyliczeniowe: nieznane, cofnięte i wyrównane org-mismatched tokens wszystkie Zwróć jedną nieodróżnialną niewydolność generyczną. Tylko EXPIRED otrzymuje konkretną, uczciwa odpowiedź, która jest bezpieczna, ponieważ dzwoniący już udowodnił posiadanie 256-bitowy token. - org pochodzący z hosta żądania jest sprawdzany krzyżowo na org na orgu. Wiersz linku. Bez tego ważny link dla org A otwarty pod lubg B hostowałby Uczyń cenę A w noszącym markę B – prymitywny phishingowy. - no-store / Referrer-Policy: no-referrer / X-Robots-Tag: noindex na każdym Odpowiedź. Strona ładuje logotypy z motywu.org>, a Referer miałby ponoszenie Token off-origin. PublicLinkRateLimiter jest wspierany przez Redis, ponieważ SecurityService jest wielorepliką — Liczniki w procesie byłyby ogranicznikiem tylko z nazwy. Jest to wyraźnie DoS i Ochrona log-higiena, NIE kontrola przeciwzębnościowej: 256 bitów entropii jest. Porażki są liczone znacznie surotycznie niż sukcesy, ponieważ jedno biuro otwierające Przesłanie cytat pięćdziesiąt razy jest normalne, podczas gdy pięćdziesiąt misses nie jest. Nie zawiedzie otwarty, więc Awaria Redisa nie może w dół strony z cytatem. QuoteEmailKorzyknie ponownie używa ścieżki transakcyjnej EmailService (X-Intheternal-Auth, QUOTE_SENT template) i wysyła tylko nagłówek plus link — nigdy Wycenione ceny, więc przekazana wiadomość e-mail sama w sobie nie jest ujawnieniem. Istniejące wcześniej awarie testowe niezmienione przez to commit (sprawdzone przez uśmiercenie tej pracy I ponownie bieganie na czystym HEAD): - NPE na null EntityManager, a spuścizna com.retval SecurityServiceApplicationTests Brakuje - SpringBootKonfiguracja. WYMAGA a KamoInitializerService działa przed rozpoczęciem pracy punktów końcowych: tabele cytatów Są nowe, a ddl-auto nie jest tutaj, więc buty serwisowe zwykle i tylko wycena Punkty końcowe 500 na brakującej relacji, dopóki KI nie uruchomi się.