- Expediere
- 23 septembrie 2026 la 08:37 UTC
- Autor
- Kamo
- Comite
- 133a70d
CarierePOST PublicController / {orgRef} /alerts este cel anonim, obiectiv neautentificat în acest serviciu care trimite un e-mail pe fiecare apel acceptat, cu nimic gating cât de des: a apelant ar putea trimite un link de confirmare la orice adresă, în mod repetat, în orice caz Inbox real, sau riscul de cheltuire/reputare fără legătură pe domeniul de trimitere al platformei. Adaugă CariereAlertThrottle (Redis-backed; fiecare regulă este o fereastră de timp, astfel încât nici o schimbare schema): la cele mai multe o confirmare pe oră pe adresă, nu re-trimite în timp ce o fereastră 24 neconfirmat-pending este Rularea, și un capac de încercare per sursă-IP. De asemenea, capac cât de multe rânduri neconfirmate o org poate deține la O dată, astfel încât un potop de adrese nou-nouț nu poate crește masa fără legătură. Fiecare cec răspunde de a rămâne tăcut [abonat () încă întoarce 202) mai degrabă decât suprafațând o eroare distinctivă În conformitate cu regula existentă a obiectivului, un apelant public nu trebuie să fie în măsură să spună "throttled" în afară de "trimis," care ar fi ea însăşi un oracol pentru "există această adresă." Cheia per-IP este rezolvată prin soluţionarea juridicăClientIp. (cea mai dreaptă X-forwarded-for hop) Nu "***************" stil de lectură stânga-cea mai-hop utilizate pentru trasee de audit în altă parte în acest serviciu: cel mai stânga-stop este cel un CLIENT scrie, astfel tastarea o acceleratie pe ar lăsa un atacator să învingă capacul per-IP pur și simplu prin trimiterea unei valori diferite pe fiecare cerere. Client juridic Ip propria clasă Javadoc documente exact acest mod de eșec pentru caz probatoriu; se aplică la fel de direct aici.