Токены из заголовков XHTTP сохраняются открытым текстом в profiles.json
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 35/100
調査の方向性
Read XhttpExtraValidator.cs:77–96 and UriParsers.cs:22–25 to trace how XHTTP headers enter Profile.Options[Keys.XhttpExtra], then inspect ProfileStore.Subscriptions.cs:69–84 for SourceOptions copying. Map the ISecretStore and config generation or export paths, including migration of existing Options and SourceOptions. Done means imported transport credentials are absent from profiles.json and are available through ISecretStore when generating configs or explicitly exporting.
索引モデルが issue の本文から書いたものです。
説明
Приоритет P0 · milestone 0.4.1
Заголовки транспорта XHTTP могут содержать bearer-токен или cookie. При импорте они попадают в обычные параметры профиля и оказываются вне ISecretStore.
Воспроизведение
- Импортировать синтетическую ссылку
vless://[email protected]:443?type=xhttp&extra=%7B%22headers%22%3A%7B%22Authorization%22%3A%22Bearer%20audit-synthetic%22%7D%7D. - Сохранить профиль в изолированном каталоге.
- Открыть profiles.json и найти
audit-synthetic. При импорте подписки значение сохраняется также в исходных параметрах для обновления.
Причина и доказательство: XhttpExtraValidator.cs:77–96 принимает строковые headers. StreamOptions.Apply в UriParsers.cs:22–25 сохраняет весь JSON в Profile.Options[Keys.XhttpExtra]. Хранилище сериализует Options, а ProfileStore.Subscriptions.cs:69–84 копирует их в SourceOptions. Xray использует эти заголовки для транспорта. Соединение для проверки не требуется.
Ожидаемо: транспортные учётные данные доступны через ISecretStore и отсутствуют в открытом документе профилей.
Направление исправления: вынести секретные заголовки или весь extra в секретное хранилище, мигрировать старые Options и SourceOptions и собирать параметры при генерации конфига или явном экспорте.
Связано: #261.
Аудит ffa65648867139f9e45c15f4b635a83c1ff52c1b.
- 主要言語
- C#
- スター
- 5
- フォーク
- 1
- 平均マージ
- 23分
- マージ済み PR（30日）
- 144
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
endercodezz/BYDLO のほかの issue
-
bug github_actions
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
endercodezz/BYDLO#336 ·
メンテナーはふだん 1 日以内に返信
-
bug network
難易度 4/5 3〜5日 初心者へのやさしさ 63/100
endercodezz/BYDLO#343 ·
メンテナーはふだん 1 日以内に返信
-
bug network
難易度 4/5 3〜5日 初心者へのやさしさ 55/100
endercodezz/BYDLO#342 ·
メンテナーはふだん 1 日以内に返信
-
bug
難易度 4/5 3〜5日 初心者へのやさしさ 53/100
endercodezz/BYDLO#341 ·
メンテナーはふだん 1 日以内に返信
-
bug network
難易度 4/5 3〜5日 初心者へのやさしさ 56/100
endercodezz/BYDLO#340 ·
メンテナーはふだん 1 日以内に返信
endercodezz/BYDLO の issue をすべて見る
似ている issue
-
needs-area-label
難易度 2/5 1〜3時間 初心者へのやさしさ 66/100
メンテナーはふだん 2 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 65/100
SubtitleEdit/subtitleedit#16638 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 85/100
sebastienros/jint#4449 ·
メンテナーはふだん 1 日以内に返信
-
clawsweeper:bulk-filed clawsweeper:needs-security-review clawsweeper:no-new-fix-pr clawsweeper:source-repro impact:security issue-rating: 🦞 diamond lobster P2
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
openclaw/openclaw-windows-node#2010 · コメント 2 件 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信