- Shipped
- 3 august 2026 la 03:39 UTC
- Author
- Kamo
- Commit
- 8eb4164
ResourceServerConfig este anyRequest ().permitAll() and @EnableMetodeSecurity apare nicăieri în acest serviciu, astfel încât fiecare @PreAuthorize este inert și public este implicit. Autorizarea este o convenție per-handler, ceea ce înseamnă un handler care uită că este accesibil fără acreditare prin APIservice's neautenticated /api/security/** releu. Cinci cazuri de exact care au fost stabilite în această săptămână ***************** nu a primit nicio cerere de la HttpServlet, şi "Titlul de locuri de muncă/Departamentul PUT și persoanele care se ocupă de DELETE acceptă drepturi[]. Cazurile de fixare nu repară clasa. O scanare găseşte 406 din 1034 cartografiate criterii de evaluare în acest serviciu, fără o rezoluție a sesiunii sau ajutor pentru drepturi oriunde în corpul handler. Această bază de referință cele și nu se bazează pe oricare dintre noi, astfel încât Contele poate doar să cadă. Un al doilea test nu reușește atunci când o intrare de referință nu se mai potrivește cu un nepăzit obiectivul final. Prin urmare, fixarea unui handler necesită eliminarea liniei sale, care este ceea ce face ca numărul să se mişte mai degrabă decât să lase dosarul să putrezească într-un cimitir. că toată lumea nu mai citeşte. Probă prin mutaţie în ambele direcţii: adăugarea unui criteriu final nepăzit eşuează şi numează-l; adăugarea unui paznic la un handler de bază fără eliminarea liniei sale nu reușește și nume care prea. Deliberat de grosolan, și nu este un audit de autorizare. Un corp conteaza ca păzit dacă menţionează un ajutor cunoscut, deci absenţa de la valorile iniţiale "revizuită o dată," niciodată "în siguranţă." Unele intrări de bază sunt corect publice (login, recuperare parola, webhooks, SSR org lookup), unele delega verificarea în un serviciu, și un număr necunoscut sunt cu adevărat neautentice. Triajul este WS-1 în kamo- intern - Nu. Valoarea aici este clichet, Nu verdictul.