- Змішані
- 23 вересня 2026 р. о 11:14 UTC
- Авторизація
- Kamo
- Про нас
- d47b471
/topic/chat/session/{guid} і /topic/webrtc/session/{guid} не були захищені на всіх: будь-який автентифікований роз'єм може SUBSCRIBE до іншого життя сеансу Повідомлень чату або WebRTC пропонують/відповідача/продаж трафіку чисто, знаючи (або здогадка) її гіда - живий близнюк транскрипційно-прочитаного отвір MediaController.canReadSession закритий для HTTP (f7b2bd5). Клієнти або був також відкритим; законний клієнт коли-небудь надсилає їм (все реально) Один тільки підписаний, так що кований SEND може ввести підроблене повідомлення або сигнальна рама в сеанс не може навіть читати. WebSocketConfig.preSend тепер захищає SUBSCRIBE до обох префіксів СесіяAccessGuard#canRead - це те ж саме правило, яке використовує медіаконтролерів, не a четверта копія її - і *********** тепер відмовляється від SEND до обох правих, що відповідає будь-якій іншій темі, в якій список. можеЧитати необхідний другий пункт в'їзду: його існуючий підпис просить HttpServletЗапит на права абонента (SUPPORT TICKET) Вхід, а кадр STOMP не має - тільки те, що WebSocketAuthInterceptor вказали на засiданнiй засiданнi (членId/orgId/rights) тому *** сеанс HTTP-запиту буде вирішено. Новий canRead(session, caller, list<String> права) перевантаження приймає цю форму безпосередньо; як перезавантаження зараз делегують до одного приватного виконання, так що власне правило все ще написано належним чином. Громадський чат відвідувач не є членом на всіх - PublicChatWebSocketInterceptor марки єПублічнийЧат/sessionGuid замість того, що вже вирішені і перевірені проти їх сеансу токени на руках. Ваше ім'я підпису є прямим проти цього, ніколи не SessionAccessGuard#canRead (який вимагає наявності) Учасник і відмовляється від абонента, який ніхто не має kamo-internal, що тільки коли-небудь підписується на ці два теми і ніколи не Відправляється в будь-який час. Covered by************************************************************************************************************************************************************************************************************************************************************* (прийнятий/відмовлений) охоронець, громадський відвідувач, який приймав до власної сесії і відмовився від різні, не пов'язані теми, які передаються, нові випадки в СесіяAccessGuardTest і StompDestinationAuthzTest для прав-листів перевантаження та нова відмова від SEND. Мутація-перегляд: падіння нового Перевірка SUBSCRIBE, поломка власного правила, і (як Перевірка регресії) передвиборчого "незагартованому" твердження цього закриває кожен ввімкніть конкретну стверджуючу червоною; все відреставровано і переірвати зеленою.