- Shipped
- 15 noiembrie 2026 la 10:27 UTC
- Author
- Kamo
- Commit
- adc476b
ID5.6 — /auth/start acceptă portal (BORROWER|PATIENT) + portalHost (+ audience=CUSTOMER, relativ următor), trece le trimite la federation/start și le păstrează în kamo_fed_ctx peste hop-ul ID1.4b; o pereche malformată este refuzată înainte de Callback / link-confirm: PORTAL -> 303 pentru a returna URL-ul numai atunci când este https pe exact același server Portalul gazdă cu care a început fluxul; PORTAL_MFA -> postarea MfaStep existentă la noul releu /api/federation/portal-mfa -> federation/portal/mfa (gazda portalului se află pe partea de server în HttpOnly kamo_portal); Un flux de portaluri nu planteaza niciodata ***, ci doar returnUrl-ul unui flux de portaluri. @kamo/auth 0.6.1 mapează rezultatele necunoscute la ERROR, astfel încât rutele citesc mai întâi răspunsul brut (lib/signin/portal.mjs) Și în caz contrar traseul exact ca înainte. ID5.7 — kamo_did (HttpOnly, Secure, Lax, 400 zile, 32 octeți aleatorii) creat când absent și trimis ca X-Kamo-Device-Id pe fiecare releu de autentificare (login, mfa, select, federație start/callback/link, fără parolă, PASSKEY_REQUIRED de la /api/login, MFA, select, SSO/SAML; niciodată nu a fost creat pe un formular cross-site POST) Răspunsurile fără federare și fără parolă deschid "Organizația dvs. solicită administratorilor să utilizeze o cheie de acces": Cheie de acces / Creați o cheie de acces acum **************** / Continuați acum (numai atunci când Nudge-ul pentru parola spartă după o autentificare cu PAROLA (SHA-1 în browser, SHA-2 în client, etc.) 5-hex prefix la /api/pwned cu Add-Padding + 1.5 s, fail-quiet) cu Schimbă-l acum / Amintește-mi mai târziu și un Fire-and-forget signin/breach-nudge cu *** plantat. Noua pagină /secure-account?t=. Carduri de refuz pentru Aceste cookie-uri sunt: STAFF_ACCOUNT, BAD_PORTAL, NO_PORTAL_ACCOUNT, PASSWORD_RESET_REQUIRED (cu Resetare Parolă). Fiecare nouă ramură este inofensivă atâta timp cât securityservice nu răspunde (404/unknown -> comportamentul de astăzi). Verificat: testul npm 134/134 (31 noi), tsc curat, cheile de verificare-i18n împotriva dicționarului împins, împușcăturile de ham.