- 已发运
- 2026年9月24日 01:31 UTC
- 作者
- Kamo
- 承诺
- 46191c4
15 个位置的钩子打开了 STOMP/ SockJS 连接到 Media Service (media.<domain>/ws) 或 Email Service (通过 / email- ws 重写) 将生 128- char *** 会话 id 放在查询字符串上 (?***=<token>) - Traefik的访问日志保持它清晰的文字,只要它保持一个。 那个ID是 也不再可以从页面脚本读取(app/lib/session) 处理封上它,所以价值是 不管怎样,都快从钩子上消失了 钩子可以一次性铸造一个密钥: **************** 职位 /api/generate-otk? 目的=ws(一个64-hex-char键,30 s TTL),并交给stompjs客户端 `在连接之前 ' ,在每次连接和每次连接之前,都会被踩出-如此一钩,以至于 一小时后又重新连接了 薄荷还是个新鲜的密钥 而不是重放一个僵硬的密钥 每个 WebSocketFactory 在构建 SockJS URL时读取了最新的密钥 ('?otk=<key>`; a) 失败的薄荷仍然尝试没有键的连接, 而后端拒绝, 并重试 重新连接后Delay。 现存的"有没有一个会话"大门没有被触及——几个钩子 仍可直接读取真实性检查的会话Storage,它很好,与数据无关 价值在电线上。 QQ 现在也失败了任何客户端文件( 测试豁免—— 它们将其命名为 禁止它),它仍然用QQ构建一个URL,指向薄荷WsKey. 找到这15个 原产地/主站点;没有遗存,恢复一个旧钩子会变红。 MediaService(b0e08ac2)和EmailService(279723a4)已经接受`?otk=`-先检查,后不检查. 被一个未知的钥匙直接拒绝, 并管理着他们。 测试:wssession Auth.ts, QQ (b) 类型/@stomp stompjs.d.ts在连接之前宣布.