Откажитесь от сообщений в Webhook для соединений Discord, которые только когда-либо получают DM через шлюз

FixMediaService
Порезанный
17 сентября 2026 г. в 03:13 UTC
Автор
Kamo
Обещать
29369e3

Discord DMs доходят до MediaService только через WebSocket DiscordGatewayManager, который публикуется прямо на веб-сайте. Social.inbound.raw. Но каждое социальное соединение имеет токен веб-хука, и SocialInboundController проверяет сообщение на /api/social/webhook/{token} с любым адаптером имен соединений токена. Разработчик: VerifyWebhook Ответ был верным, исходя из предположения, что его никогда не называли. Так что любой, у кого есть токен веб-хука Discord может опубликовать выдуманную MESSAGE CREATE и проглотить ее в качестве DM, создавая разговор и лидерство под любым Имя. Нет подписи для проверки: Discord никогда не отправляет запрос на этот путь (его Ed25519-подписанные Взаимодействия) Конечная точка - это другая функция, которую этот адаптер не реализует. Итак, проверьте Webhook теперь отказывается, и пост Для подключения Discord используется 403 перед тем, как что-либо будет зарегистрировано или опубликовано. Путь Ворот нетронут. SocialInboundDiscordWebhookTest размещает кованый DM через контроллер с реальным адаптером: 403, ничего Зарегистрировано, ничего не опубликовано. Поставщик, чей адаптер проверяет, все еще проходит через ту же конечную точку. Со старым Вернуть верное первое испытание не удается.

Все изменения

Как вы видите судоходство?

Все это приходит в ваше рабочее пространство самостоятельно. Начните с бесплатного плана и прочитайте эту страницу через месяц.

Начните бесплатно навсегдаПосмотреть цены