- Shipped
- lúc 08:43 13 tháng 11, 2026 UTC
- Author
- Kamo
- Commit
- f4ad947
A Verified Recipients doc link on sign.<org> sends a newcomer to register.<apex>/member?doc=<URL trang doc>. Mirrors careers' applyHandoff: - URL chỉ được chấp nhận là https://sign.<this apex>/<xx>/d/<43-char token> (không truy vấn, mảnh, cổng hoặc chứng thực) và đỗ ở đỉnh kamo_ doc_ return cookie, vì thế nó sống sót qua việc xác thực thư điện tử trong một thẻ khác. Không bao giờ mở một đường dẫn ngược: Tự ký của người nhận chỉ có thể quay lại trang tài liệu đó. - Đầu thư nói "Tạo tài khoản để mở {Doc} từ {Sender}" từ máy đăng nhập (/api/doc/<token>/hint, đỗ ở đó khi nó vẽ đăng nhập gate), không bao giờ từ URL, vì vậy một liên kết giả không thể đặt từ trên trang này; Nếu không có chúng, nó sẽ nói "... mở tài liệu được chia sẻ với bạn." - Khóa một lần tự động-session đi đến <doc page>/session?otk= thay vì internal.<apex>/validate, và mỗi liên kết đăng nhập (tiêu đề, tài khoản liên kết, registered, email verified, already verified) carry ?return=<doc page>.