- Shipped
- 15 листопада 2026 р. о 10:27 UTC
- Author
- Kamo
- Commit
- adc476b
ID5. 6 — / auth/ start приймає портал (BORROWER| PATIENT) + portalHost (+ audience=CUSTOMER, відносний наступний), пропускає їх до federation/ start і зберігає їх у kamo_ fed_ ctx через перехід ID1. 4b; неправильно сформована пара відкидається до будь- який постачальник (картка BAD_ PORTAL). Зворотне викликання / підтвердження посилання: PORTAL -> 303 для повернення адреси URL тільки якщо вона є https вузол порталу, з якого було розпочато потік; PORTAL_ MFA -> існуючий MfaStep, що надсилає повідомлення до нового реле / api/ federation/ portal- mpa -> federation/ portal/ mpa (узгоджений вузол порталу з боку сервера у HttpOnly kamo_ portal); ПОМИЛКА перенесення returnUrl на потік порталу -> назад до порталу. Потік порталу ніколи не встановлює ***. @ kamo/ auth 0. 6. 1 відображає невідомі результати як ERROR, отже маршрути спочатку читають необроблену відповідь (lib/ signin/ portal. mjs) і інакше маршрут точно такий самий, як і раніше. ID5. 7 — kamo_ did (HttpOnly, Secure, Lax, 400 днів, 32 випадкових байти) створюється під час відсутності і надсилається як X-Kamo-Device-Id на кожному ретрансляторі реєстрації (login, mfa, select, federation start/callback/link, passwordless, ключів, SSO/ SAML; ніколи не використовується на крос- сайтній формі POST). PASSKEY_ REQUIRED з / api/ login, MFA, select, Відповідь на запит « Ваша організація просить адміністраторів використовувати ключ доступу »: Скористайтеся Ключ доступу / Створити Ключ Доступу Зараз **************** / Продовжити Зараз (лише якщо canContinue), а потім звичайне передавання. Повідомлення про порушення пароля після входу у систему за допомогою пароля (SHA- 1 у переглядачі, шістнадцятковий префікс до / api/ pwned з Add- Padding + 1. 5 с, fail- quiet) з Change It Now / Remind Me Later і fire- and- forget signin/ breach- nudge з підставленим ***. Нова сторінка / secure- account? t=. Картки відмови для Паролі, що вимагають скасування: STAFF_ACCOUNT, BAD_PORTAL, NO_PORTAL_ACCOUNT, PASSWORD_RESET_REQUIRED. Кожна нова гілка є нешкідливою, поки securityservice не відповідає на неї (404/unknown -> сьогоднішня поведінка). Перевірено: npm test 134/ 134 (31 новий), tsc clean, check- i18n- keys against the pushed dictionary, harness shots.