- Shipped
- 24 Septemba 2026, 00:09 UTC
- Author
- Kamo
- Commit
- 3e3c3e7
* Iliwekwa kuwa ya kusomeka (http only: false) na majibu kadhaa yalitoa id ya kikao cha mbichi kwa browser ya. Ukurasa wa script hauwezi kutumia bendera ya HttpOnly ikiwa endpoint inasoma thamani nyuma: - /api /session / extend na /api /session /info kikao cha kurudiInfo.sessionId, /api / mtumiaji-info walirudi Ni kama ishara, /api/debug/cookies kama ***Value. Kwa sasa wanarejea katika nafasi ya 8 (ya kwanza) Matumizi ya mfumo wa Debug (au hakuna). - /valid hutumiwa bila lango la kikao na kutoa kila kuki VALUE kwenye ukurasa - kwenye Tovuti, ambayo inaona cookies ya Http tu. Sasa inaonyesha majina na ukubwa. - /api/session/extend mimea * na http only: kweli. Hata hivyo, watumiaji bado wanatuma kwenye vituo vya data. <img> / <video> na / mkutano / pamoja ambayo inategemea hiyo; script haiwezi kusoma tena. * * * * * * * * * * * * * * * * * * * * ******************************************************************************************************************************************************************************************************************************************** Kazi ya msingi kwa hatua inayofuata, inert hadi /api / kuthibitisha huanza kutoa kushughulikia: - App/lib/sessionHandle.ts: kikao cha tab HANDLE ni ID ya 128-hex iliyofungwa na AES-256-GCM chini ya ufunguo (HKDF) kutoka kwa SESSION HANDLE SECRET na ufunguo wa kila-browser katika HttpOnly Host . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Hasa wahusika wa 128, hivyo kila hundi ya mteja iliyopo inakubali; haina maana Na kwa upande mwingine, hakuna njia ya mkato. SessionHandle.test.ts inashughulikia muhuri / wazi, kigeni browser, kuharibu, hakuna siri. wakala.ts kufungua kushughulikia kuwasili katika X-***-Token katika ID halisi kwa njia, hivyo ~ 180 njia kwamba kusoma kwamba kichwa haja ya mabadiliko; kushughulikia ambayo haina kufungua matone wote kichwa na Kidakuzi kilichoshirikiwa *** badala ya kuruhusu njia kurudi kwenye kikao cha tab kingine. Kwa kuwa Mchezaji sasa ni pamoja na /api /:path * waziwazi (kanuni ya faili ya tuli iliruka /api / *.png). - /api / faida ya kizazi-otk = ws (30 s) kwa mikono ya WebSocket; logout inaweka ufunguo wa kivinjari (Vifungu vingine vya sheria hutegemea juu yake). - k8s/deployment.yaml inaunda siri ya kamo-internal-session-handle (iliyoundwa katika nguzo).