Hacktoberfest 2026：メンテナが10月に向けて印を付けた、オープンで初心者向けの issue。 Hacktoberfest の issue を見る

Oathkeeper docs claim a max_request_body_size config on the remote authorizer that doesn't exist in the schema or source

オープン 初心者向け
  • 何か問題がありますか？
#2,706 コメント 1 件 リアクション 0 件 担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度
2/5
見積もり時間
1〜3時間
初心者へのやさしさ
78/100
issue の種類
ドキュメント
明瞭さ
おおむね明確
活発さ
活発
領域
documentation

調査の方向性

Oathkeeper の authz ドキュメントページを開き、max_request_body_size claim を含むリモートオーソライザーのセクションを見つけます。spec/config.schema.json、pipeline/authz/remote.go、pipeline/authz/utils.go と照合して検証します。対応完了の条件は、不正確な claim を削除するか、その機能が利用できないことを明確に示すことです。

索引モデルが issue の本文から書いたものです。

説明

bug
Preflight checklist
Ory Network Project

No response

Describe the bug

The Oathkeeper documentation page for the authz pipeline
(https://www.ory.com/docs/oathkeeper/pipeline/authz) describes a
max_request_body_size setting on the remote authorizer that does
not exist in the config schema or the actual implementation.

The page states:

The maximum inbound request body size that Ory Oathkeeper buffers
so it can replay the body to the upstream service. The default is
"10MiB".

Ory Oathkeeper rejects requests that exceed the limit with HTTP 413
before calling the remote authorizer.

This appears to be incorrect / describes a feature that was never
implemented:

  • spec/config.schema.json defines configAuthorizersRemote and
    configAuthorizersRemoteJSON with only remote, headers,
    forward_response_headers_to_upstream, retry (and payload for
    the JSON variant) — no max_request_body_size property on either.
  • pipeline/authz/remote.go and pipeline/authz/utils.go
    (pipeRequestBody) pipe the request body via an unbounded
    io.TeeReader into a bytes.Buffer — no size check, no cap, no
    HTTP 413 anywhere in either file.
  • A GitHub commit search for MaxRequestBodySize across the full
    repo history returns zero results — this identifier has never
    existed in the codebase.

Suggested fix: remove the claim from the docs page, or if this was a
planned-but-unshipped feature, mark it clearly as not yet available.

Reproducing the bug

Not applicable in the docker/curl sense — this is a documentation
inaccuracy, not a runtime bug. To verify:

  1. Visit https://www.ory.com/docs/oathkeeper/pipeline/authz and read
    the remote authorizer section — note the max_request_body_size
    / 10MiB / HTTP 413 claim.
  2. Check spec/config.schema.json on the master branch — search for
    max_request_body_size: no match under either the remote or
    remote_json authorizer definitions.
  3. Check pipeline/authz/remote.go and pipeline/authz/utils.go on the
    master branch — no body size limit logic anywhere in either
    file; pipeRequestBody() buffers the body unbounded.
  4. Search commit history for MaxRequestBodySize — zero results.
Relevant log output
N/A — this is a documentation inaccuracy, not a runtime error. No
logs to provide.
Relevant configuration
N/A — no runtime config triggers this. For reference, the actual
(correct) schema for the affected section, from
spec/config.schema.json on the master branch:

authorizers:
  remote:
    config:
      remote: <url>
      headers: {}
      forward_response_headers_to_upstream: []
      retry: {}

No max_request_body_size property exists here or under remote_json.
Version

master

On which operating system are you observing this issue?

None

In which environment are you deploying?

None

Additional Context

No response

主要言語
TypeScript
スター
161
フォーク
1.9k
30日以内にマージされた PR はありません

環境構築

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

ory/docs のほかの issue

ory/docs の issue をすべて見る

似ている issue

TypeScript の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。