- Shipped
- 24 вересня 2026 р. о 00:12 UTC
- Author
- Kamo
- Commit
- 5e771ef
/api/validate, де вкладка вперше дізнається свою сесія, і вона повернулася до 128-hex *** id для Сторінка, щоб тримати в сеансіСтораж — прочитано будь-яким скриптом, що працює на сторінці, і вдається сеанс з будь-якої точки прочитати. Тепер повертає HANDLE: id ущільнений (додаток/ліб/сесія) Ручка, відправлена в 3e3c3e7a) під SESSION HANDLE SECRET і цей ключ браузера, який висаджується тут вперше HttpOnly Host-KBK cookie. Сторінка зберігає і відправляє ручку точно так, як вона зробила id; proxy.ts відкриває його в id для кожного /api маршруту; WebSockets автентично з одноразовими ключами (попередній коміт). Сценарій ще може виступати на власній сторінці, але вона більше не може носити сеанс в будь-якому іншому браузері. Без SESSION HANDLE SECRET (на місцевому ході) подається id перед. Вкладки, що діють до Це зберігає свої геї, які проксі переходить до віку. ValidateHandle.test.ts: ручка + HttpOnly ключ, який відкриває його; існуючий ключ повторно використовується; немає секрету -> id (2 з 3 червоних з старим реагуванням).