- Expediere
- 3 august 2026 la 03:34 UTC
- Autor
- kamo
- Comite
- ae85a8a
remotePatterns a fost [{ protocol: "https," numele gazdei: "**"}]. Care a făcut imaginea optimiza un aport general: orice apelant ar putea cere acest server pentru a prelua orice URL, fără verificarea sistemului, fără verificarea adresei, fără limită de redirecționare și fără dimensiune limita, de la un pod care stă lângă un Redis neautentice pe 6379, MinIO cu Acreditari de baza pe 9000, si CockroachDB pe 26257. A precedat lucrarea avatarului şi ar fi devenit portantă în momentul în care imaginile au început să curgă prin ea. Enumerând gazdele permise nu a fost niciodată fix. Aceasta este o platformă albă-etichetă fiecare chiriaș are propria temă. <domeniul> originea activelor se config is evaluată în timp de construcție, astfel încât nu le poate cunoaște. Naming un chiriaș s-ar rupe imagini pentru toate celelalte. Deci URL-urile străine nu mai ajung deloc la optimizator. SafeImageSrc () rescrie orice absolut https source to /api/images/proxy, which poses it server-side behind aceleaşi comenzi ca şi cel din partea Java: DNS fixat printr-o căutare personalizată astfel încât priza se conectează la o adresă care a fost verificat de fapt (închiderea reobligation fereastra un nume de gazdă naiv înainte de verificare frunze deschise), redirecționări refuzate, un streaming capac de dimensiune numărat împotriva octeți primite mai degrabă decât un conținut-Longth un ostil origine substatale și un permis de tip conținut astfel încât o pagină moale-404 de HTML niciodată redă ca imagine. Telecomanda Patterns este acum goală în afară de gazda locală. Aplicat la fiecare site de apelare care transportă o origine străină blocuri ( URL-uri furnizate de utilizator), org și logo-uri software, întâlni branding, membru fundal tapet altfel au început blocarea. Aceasta include Contact.photoUrl, redat în șapte locuri dintr-un câmp de text liber orice utilizator cu drepturi de creație de contact poate stabili: proxying-l elimină pixel de urmărire stocate, deoarece serverul nostru nu aduce şi IP-ul telespectatorului şi momentul citirii nu ajung niciodată la gazda aleasă. Singură în mod deliberat: surse care sunt literale locale (/img/..., /logo/...). Astea ar adăuga o călătorie dus-întors şi nu ar cumpăra nimic. SafeImageSrc în mod deliberat nu consultă Se execută în timpul SSR și din nou pe hidratare, și revenind o cale goală pe o trecere și un URL proxy pe cealaltă este o nepotrivire de hidratare pe fiecare imagine absolută de aceeași origine hop într-un caz rar pentru a menține ambele trece identice. Garda este un geamăn deliberat al Java PublicHostGuard, testat împotriva aceleași bypass-uri Nu pot să mă despart în linişte.