- Navios
- 8 de setembro de 2026 às 01:51 UTC
- Autor
- Kamo
- Enviar
- 53edef7
O catch-all codifica cada segmento, e o comentário alegou que significava isso só poderia abordar a API de xadrez. «encodeURIComponent('..')» é «..» os pontos não são codificados — e o analisador de URL dentro do fetch resolve o segmento, então `chess/../sessions/x` teria deixado o prefixo para outro do MediaService's Controladores. Limitado em vez de perigoso: o OTK é a própria sessão do chamador e cada endpoint aplica sua própria autenticação, para que nada seja alcançável que o já não chegar por sua própria rota. Mas fez uma alegação no comentário falso, e essa afirmação é do tipo que um leitor confia ao decidir este arquivo é seguro para deixar em paz. Segmentos de '', '.' e '..' são recusados agora. Nada é legítimo. perdido: cada caminho de xadrez são palavras fixas, UUIDs e IDs numéricos de membros.