- 已装运
- 2026年9月23日 10:10 UTC
- 作者
- Kamo
- 提交
- d8971bc
总是回答 客户端声明的内容 - 从上传到类型, 没有内容 - Disposition, no X-Content-Type-options 和无CSP. ChatAttachment Service 的上传允许列表 承认图像/* 包括图像/ svg+xml, SVG 文档可以携带 <script> - 所以附件存储为图像/ svg+xml , 并被 URL 打开为 回应本身的文档,在卡莫内部的主机 *** cookie 是 httply: false(声明已持有三个 SVG 聊天附件)。 闲聊 气泡本身的"img"已经拒绝内置 SVG 所以这只是 通过直接打开附件的 URL 而不是通过正常方式可以达到 聊天视图 - 但 URL 是一个“ 下载/ “ 打开” 付费 非图像附件芯片必须链接到 。 结束点现在总是发送 X- Content- Type- 选项: nosniff and a 限制性内容-安全政策(默认弧'无';沙盒;.),以及 添加内容 - Disposition: 对于小允许列表以外的任何事项的附件 光栅图像类型加上音频/*和视频/*(范围流经) 相同的终点,必须保持内线才能继续播放). 什么都没有 允许列表已更改 - SVG, PDF 和任何其他文档形状的上传 成功,当有人打开 附件的 URL 。 Kamo - 内部对这条路线的中继 仅转发 所以说 目前这些新标题在到达浏览器前被剥离 - 这一承诺是: 媒体服务的一半。 由ImagingProxy Content Security Test所覆盖(经检查:还原 新标题块将全部四个断言都变成红色).