- Shiked
- 23 Eylül 2026 02:58 UTC
- Yazar
- Kamo
- Commit
- 78c4a87
/api/email/oauth/callback ve ************ halka açık ve seanssız (the-the) Sağlayıcı burada hiçbir Kamo seansı ile tarayıcıyı yönlendiriyor, bu yüzden “devlet” tek yerdi Organizasyon gelebilir - ve inşa edilen CALLER'in kendini tanımlayan üssü64 JSON idi: {"orgId": 1, "nonce": "...", "provider": "GOOGLE WORKSPACE"}.}. Herkes el-craft bir isim olarak adlandırabilir Farklı org ve bunu kendi için elde ettikleri bir yetki koduna karşı tekrar oynat; "nonce" İçinde üretildi ama hiçbir zaman hiçbir şeye karşı saklanmadı veya kontrol etmedi, bu yüzden hiçbir şey bırakmadı. The The The The The The The The callback güvenilir veyagId / provider /memberId doğrudan bu şifreden çıktı ve bağlantılı olarak etkinleştirildi İsim verilen devlet için sağlayıcı. OAuthState mağazası şimdi bir opak, "konuşturucu" üzerinde düşünülemez, org /member / provider / 10 dakikalık bir TTL ile sadece Redis rekorunu çözüyor - asla token kendi başına. "peek", harcamadan bu kaydı okur ( URI'yı ve aktıyı önceden seçmek için kullanılır Geri dönüş bir ellere işliyor; "konsume" okur ve kalıcı olarak onu siliyor, bu yüzden bir çağrı gerisi bir çağrıdır. Tek kullanım: yeniden oynanmış veya yeniden kullanılmış bir token hiçbir şeye çözüm vermez, hiç kimseden ayırt edilemez Var. OAuthFlowHizmet ve GrupwareOAuthService - bu blobs inşa etmek ve kodlamak için kullanılan Bağımsız olarak, her biri aynı mekanizmanın kendi kopyası ile - şimdi hem mint hem de jetonları kurtar Bu bir mağaza aracılığıyla, bu yüzden bir devletin ne anlama geldiğine karar veren tam bir yer var. OAuthState ShopTest düzeltme olmadan başarısız olur (aynı tokenin ikinci kullanımı hala geri döndürür null yerine rekor; OAuthFlowServiceTest, OAuthFlowKindStateTest ve GroupwareOAuthTestService Yeni mekanizma için güncelleniyor - artık bir devlet blob doğrudan inşa etmiyorlar, çünkü o zamandan beri Şifreyi bozmak için hiçbir şey kalmadı.