- 已发运
- 2026年9月24日 00:09 UTC
- 作者
- Kamo
- 承诺
- 3e3c3e7
*** 被设定为可读(仅httply:false),一些答复将原始会话id交给了 浏览器. 页面脚本不能使用 Cookie 的 Http 旗, 如果一个端点读出值 : - /api/会话/扩展和/api/会话/info返回会话Info.sessionId,/api/user-info返回 作为符号Id,/api/debug/cookies作为***Value. 他们现在返回一个 8 字符预览( 唯一的 消费者是系统调试屏幕) 或什么都没有。 - 有效时没有会话门,每张饼干都是VALUE 服务器,它也会看到Http Only Cookie。 现在显示名字和大小. - /api/session/extend plants *** 与 httply:真实的。 浏览器仍然发送到事件源, 取而代之的"img"/"video"和"meet/join";剧本已不能读取. - 现在的QQ也失败了 任何*** 的可读饼干。 在 / api/ validate 开始发布手柄之前, 下一步的工作为: - app/lib/sessionHandle.ts:一个标签的会话 HandLE是用AES-256-GCM下封装的128-hex id 从 Session HANDLE SECRET 生成的密钥( HKDF) 和 Http 中的随机每浏览器密钥 热克饼干 完全128个字符,所以每个现有的客户端检查都接受;在 任何其他浏览器; 篡改失败标记 。 session Handle.test.ts 封口/开放,外国 浏览器,篡改,没有秘密。 - 代理.ts打开一个到达 X - *** - Token 的控件,输入路线的真实ID,所以~180 读取该信头的路由不需要更改; 不打开的控点会同时将信头和 共享 *** cookie 而不是让路由回到另一个标签的会话 。 这个 matcher 现在明确包含 /api/:path *(静态文件规则跳过 /api/ *.png) 。 - /api/generate-otk 增益目的=ws(30s)用于WebSocket握手;登录保留浏览器密钥 (其他标签的手柄取决于它). - k8s/troduction.yaml挂载了卡莫-内部-会话-处理秘密(创建于集群).