- Shiked
- 23 Eylül 2026 11:36 UTC
- Yazar
- Kamo
- Commit
- a3d6885
POST /convert-vector ve WS /ws / boru hattı hiç bir auth çekmedi - 4820f44 capped upload büyüklüğü ve ve Dönüşüm koncurrency ama gerçek deliği açık bir karar bıraktı nasıl otantik bir karar? Çiğ tarayıcı WebSocket, ne bir ayık ne de kamo-internal'in kendi X-OTK başlığının bir parçasıdır seçenek orada (a WebSocket özel başlıklar oluşturamaz ve WS sorgu dizesinde bir kez anahtar Traefik/erişim loglarında toprak olurdu). Traefik rotalar /vector-ws/* doğrudan bu hizmete, atlamak kamo-internal's APIService Gateway tamamen, bu yüzden bu pod'a ulaşabilen herkes - bu per per per per per per per ************ internetteki herkes anlamına geliyordu – CPU /memory'den kaçabilir Ücretsiz, ya da anonim bir imaj-convers proxy olarak kullanın. Fix: Her iki çağrı da aynı-origin tarayıcı kodu içeride.<domain>, bu yüzden tarayıcı zaten zaten Bu hizmet için her istekte oturum kurabiyesi gönderir, aynı zamanda kamo-internalternalternal Kendisi. Hizmetler/session auth.py, bu kurabiyeyi tam olarak kamo-internal kontrollerinin bir yolunu kontrol ediyor server-side (its app/lib/ksemSessionShared.ts / sessionServer.ts / apiProxy.ts all agree on the same on the Şekil: kurabiye değeri seans id, sadece 128 hex karakterde geçerlidir ve seanstır. Redis'in " ***" + bu iddadada bir şey olduğunda geçerlidir - sadece, çoğaltmadan, aynı zamanda aynı zamanda 5-Atempt/2s retry kamo-internal'in kendi rotaları replication lag'ı tolere etmek için kullanılır. Redis hatası sayılıyor “ bulunamadı” olarak, çağrıcıyı sallamak yerine. - POST /convert-vector: Yüklemeden önce 401 bile okunur. - WS /ws/borline: kabul() hala olur (uvicorn sadece gerçek bir WS yakın kodu sunar - burada 1008, Politika ihlali - bir kez elhake başladı; çöküşü kabul etmeden önce çıplaklığa HTTP 403 kod discarded ile, o zaman hemen, herhangi bir çerçeve okumadan önce. - k8s/makonp.yaml aynı ************************ kamo-internal's own Formmap taşıyor - bu kümenin Redis'in ACL yok, bu yüzden PASSWORD her yerde boş tüketilen, var olmayan bir sır için gerçek bir ayakta değil. - Asla kurabiye değerini veya seans idını açmaz (Redis anahtarı boş, sadece eklenmiş). / Sağlık açık kalır, kasıtlı olarak - burada hiçbir şey onu değiştirir. Testler: test session auth.py. Mutation-checked by reverting main. py'nin iki arama sitesi yerel olarak: The HTTP-side Reddet testleri başarısız olur (kahkalanmış dönüştürücü, atlamak yerine adlandırılır) ve WebSocket-side testi doğru asır ( bağlantıyı hiç kapatmaz) – her ikisi de korumayı onaylıyor Yük taşıma; sonra restore. Bilinen boşluk, burada kapsamın dışında: kamo-internal'in yerel-dev yolu (NEXT PUBLIC IMAGE PIPELINE URL / / Yerelhost:8000) bu hizmeti çapraz-origin olarak adlandırıyor ve ne logoVectorize.ts's get() veya useImagePipeline.ts's WebSocket varsayılan olarak kimlik kartı gönderir, bu yüzden yerel bir anahtara karşı Yerel vektör hizmetleri şimdi 401/1008 her iki uç noktada olacaktır. Üretim etkilenmez (same-origin).