- 已装运
- 2026年9月23日 11:36 UTC
- 作者
- Kamo
- 提交
- a3d6885
POST/convert-vector和WS/ws/pipeline完全没有获得任何授权——4820f44封装上传大小和 转换货币,但实际空洞尚未打开,等待决定如何认证 a 原始浏览器 WebSocket, 因为既不是无记名符号, 也不是 Kamo- Internal 自己的 X- OTK 标题 选项(一个 WebSocket 无法设置自定义标题,以及 WS 查询字符串中的一次性密钥) 将在特拉菲克/出入日志中着陆。 Traefik 路线 / vector- ws/ * 直通此服务,绕行 Kamo-Internal的APIServices网关是完全的,因此,任何能够到达这个吊舱的人——如果 互联网上的任何人 都可以从CPU/记忆中逃出 或者把它当作一个匿名的图像转换代理。 固定 : 两个呼叫者都是内部的同源浏览器代码. < domain>, 所以浏览器已经 将每个请求的 *** 会话 cookie 发送到此服务, 和对 kamo- 内部一样 它本身。 服务/session auth.py检查那个饼干 恰好是卡莫-内部检查的方式之一 服务器侧面( 其app/ lib/ ksemsession shared.ts / session Server.ts / apiProxy.ts 都同意) 形状 : cookie 值是会话 id,仅在128个十六进制字符有效,会话是 当 Redis 有“ ***” + 该 id 的任何东西时, 无效 —— 只读, 从复制件读取, 相同 5-Attoption/2s再试出卡莫-内地的自己路线来容忍复制滞后. Redis 错误计数 而不是挥手通过。 - POST /convert-vector:401 上传前甚至读取. - WS/ws/管道:接受()仍然发生(乌维克只提供真正的WS闭合代码——此处为1008), 违反政策——一旦开始握手;在接受崩溃之前关闭; HTTP 403带有被丢弃的代码),然后立即关闭,在读取任何框架之前. - k8s/configmap.yaml 获得相同的QQ. 卡莫内部的 配置图载着——这个集群的Redis没有ACL,所以PASWORD在任何地方都是空的. 被消耗了,没有字面 站出来一个不存在的秘密。 - 永远不要日志 cookie 值或会话 ID(Redis 键是 id,只是前缀) 。 /健康保持开放,故意——这里没有什么改变. 测试:测试 session auth.py. 变相通过回转主检查. py在当地的两个呼叫站点: HTTP- side 拒绝测试失败( 被嘲笑的转换器被调用而不是跳过) WebSocket-side测试断然挂起(从未关闭过连接)——都确认后卫是 负载; 后恢复。 已知差距, 超出此范围 : kamo- Internal的本地- dev路径( NEXT PUBLIC IMAGE PIPELLINE URL /) localhost:8000称此服务为跨源,既不是标志Vectorize.ts的取取取(),也不是 使用 ImagePipeline.ts 的 WebSocket 默认发送证书 交叉来源, 所以本地 dev 对应 本地矢量服务将在两个终点上实现401/1008。 生产不受影响(同样来源).