- Szycy
- 23 września 2026 08:37 UTC
- Autor
- Kamo
- Pochęt się
- 133a70d
CareersPublicController's POST /'orgRef'/alerts to ten anonimowy, nieauceptatyczny punkt końcowy W tej usłudze, która wysyła wiadomość e-mail na każdym przyjętym połączeniu, bez konieczności: Rozdzwoniący może wysłać link potwierdzający na dowolny adres, wielokrotnie, w każdym razie – nękanie Prawdziwa skrzynka odbiorcza lub ryzyko niewydanych / reputacji na własną domenę wysyłającą platformę. Dodaj KarieraAlertThrottle (Redis-backed; każda zasada jest godzina, więc żaden schemat zmiany): Najliczniejsze potwierdzenie na godzinę na adres, bez ponownego wysłania, podczas gdy 24h niepotwierdzone okno jest Bieganie i pułap próba naródło-IP. Również czapka, ile niepotwierdzonych rzędów jeden org może pomieścić Raz, więc powódź zupełnie nowych adresów nie może rozwijać stołu bez połączenia. Każda odpowiedź na czek Przez milczenie (subscribe() nadal powraca 202), zamiast pojawiać się w rozpoznawalnym błędzie - Dopasowując istniejącą zasadę punktu końcowego, że publiczny rozmówca nigdy nie może być w stanie powiedzieć "przetarg" Poza "wysłaną", która sama w sobie byłaby wycznicą "czy to adres istnieje". Klucz per-IP jest rozwiązywana za pośrednictwem LegalClientIp.resolve (prawie najbardziej wysunięty PUBLIC X-For-For hop), Nie w stylu - najczęściej węzłowym czytaniu używanym do tras audytowych Gdzie indziej w tej usłudze: lewy chmiel jest ten, który pisze KLIENT, więc przełączanie przepustnicy Pozwoliłoby to atakującemu pokonać pułap na IP po prostu wysyłając inną wartość na każdym z nich. Prośba. LegalClientIp's own Javadoc dokumentuje dokładnie ten tryb awarii dla Przypadek dowodowy; ma zastosowanie tak samo bezpośrednio tutaj.