- Shipped
- 24 września 2026 00:09 UTC
- Author
- Kamo
- Commit
- 3e3c3e7
* * * został ustawiony do odczytu (httpOnly: false) i kilka odpowiedzi przekazało id sesji surowej do przeglądarka. Skrypt strony nie może używać flagi plików cookie HttpOnly, jeśli punkt końcowy odczytuje wartość z powrotem: - / api / session / extension i / api / session / info zwrócone sessionInfo.sessionId, / api / user- info zwrócone to jako tokenId, / api / debug / cookies jako * * * Value. Teraz zwracają podgląd 8- znaków (tylko konsumentem był ekran Debug systemu) lub nic. - / ważne jest podawane bez bramki sesji i renderowane każdy plik cookie VALUE na stronie - na serwer, który również widzi pliki cookie HttpOnly. Pokazuje teraz nazwy i rozmiary. - / api / session / extension plants * * * with httpOnly: true. Przeglądarka nadal wysyła to do EventSources, < img > / < wideo > i / meet / join, które od niego zależą; skrypt nie może już go odczytać. - * * * * * * * * * * * * * * * * * * teraz także nie udaje się podłożyć pliku cookie do odczytu. Prace naziemne na następny krok, obojętne aż / api / walidate rozpoczyna wydawanie uchwytów: - app / lib / sessionHandle.ts: sesja zakładki HANDLE jest 128- hex id zapieczętowany AES- 256- GCM pod klucz uzyskany (HKDF) z SESSION _ HANDLE _ SECRET i losowy klucz do przeglądarki w HttpOnly Ciasteczko KBK. Dokładnie 128 znaków, więc każdy istniejący czek klienta akceptuje go; bezużyteczny w jakakolwiek inna przeglądarka; manipulowanie zawodzi znacznik. SessionHandle.test.ts obejmuje foki / otwarte, zagraniczne Przeglądarka, manipulowanie, bez tajemnic. - proxy.ts otwiera uchwyt przybywający w X- * * * -Token do prawdziwego id dla trasy, więc ~ 180 trasy, które czytają, że nagłówek nie wymaga zmiany; uchwyt, który nie otwiera się spada zarówno nagłówka i współdzielone ciasteczka * * * zamiast pozwalać trasie wrócić do innej karty sesji. W matcher teraz zawiera / api /: path * wyraźnie (reguła static- file pominięta / api / * .png). - / api / generate- otk zyski cel = ws (30 s) dla WebSocket handshake; wylogowanie zachowuje klucz przeglądarki (od tego zależą inne uchwyty). - k8s / deployment.yaml montuje kamo- internal- session- handle Secret (stworzony w klastrze).