- Отгружено
- 15 ноября 2026 г. в 10:27 UTC
- Автор
- Kamo
- Завершение
- adc476b
ID5.6 — /auth/start принимает портал (BORROWER|PATIENT) + portalHost (+ аудитория=CUSTOMER, относительный следующий), пропускает отправляет их в federation/start и сохраняет их в kamo_fed_ctx в хопе ID1.4b; неправильно сформированная пара отклоняется до любого провайдера (BAD_PORTAL карта). Обратный вызов / ссылка-подтвердить: PORTAL -> 303 returnUrl только тогда, когда это https на точно хост портала, с которого начался поток; PORTAL_MFA -> существующий MfaStep, размещающийся на новом реле /api/federation/portal-mfa -> federation/portal/mfa (хост портала находится на стороне сервера в HttpOnly kamo_portal); ERROR, несущий returnUrl на потоке портала -> обратно к порталу. Поток портала никогда не планирует ***. @kamo/auth 0.6.1 отображает неизвестные результаты на ERROR, так что маршруты сначала читают необработанный ответ (lib/signin/portal.mjs) и в противном случае маршрут точно так же, как и прежде. ID5.7 — kamo_did (HttpOnly, Secure, Lax, 400 дней, 32 случайных байта) создан при отсутствии и отправлен как X-Kamo-Device-Id на каждом релейном входе (login, mfa, select, start/callback/link федерации, без пароля, PASSKEY_REQUIRED из /api/login, MFA, select, ответы на вопросы о федерации и безпарольном доступе открывают "Ваша организация просит администраторов использовать пароль": Используйте свой Пароль / Создать Пароль Сейчас **************** / Продолжить Сейчас (только когда canContinue), а затем обычная передача. Нажатие на нарушенный пароль после входа с паролем (SHA-1 в браузере, 5-шестнадцатеричный префикс к /api/pwned с Add-Padding + 1,5 с, fail-quiet) с Изменить сейчас / Напомнить мне позже и fire-and-forget signin/breach-nudge with the planted ***. Новая страница /secure-account?t=. Карты отказа для PASSWORD_RESET_REQUIRED (со сбросом пароля), STAFF_ACCOUNT, BAD_PORTAL, NO_PORTAL_ACCOUNT. Каждое новое ответвление является безвредным, пока securityservice не отвечает на него (404/unknown -> сегодняшнее поведение). Проверено: npm тест 134/134 (31 новый), tsc clean, check-i18n-keys против pushed dictionary, harness shots.