Auth transports add credentials after cross-origin redirects

Fechada
  • Algo errado?
#4,365 8 comentários 0 reações 0 responsáveis Ver no GitHub

Mantenedores costumam responder em até 1 dia

Um pull request relacionado já foi integrado.

  • #4364 de @huynhtrungcsc — fechado sem integrar
  • #4564 de @gmlewis — integrado

Avaliação

Dificuldade
3/5
Tempo estimado
1-2 dias
Facilidade para iniciantes
25/100
Tipo de issue
Bug
Clareza
Claramente especificada
Status de atividade
Estagnada
Stack de tecnologia
go
Domínio
backend-api-design, security

Direção de pesquisa

Comece com BasicAuthTransport e UnauthenticatedRateLimitedTransport, especialmente com seus métodos RoundTrip, e reproduza o comportamento com dois servidores httptest conforme descrito. Está concluído quando houver cobertura de regressão para ambos os transports e as solicitações redirecionadas para uma origem diferente não contiverem seus cabeçalhos de autorização adicionados pelo transport.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

Summary

BasicAuthTransport and UnauthenticatedRateLimitedTransport add credentials in RoundTrip for each outgoing request. When Go's net/http client follows a redirect to a different origin, the redirected request can pass through the same transport and receive those credentials again.

Expected behavior

Credentials added by these transports should only be sent to the original origin. Redirected requests that cross origin should continue without these transport-managed credentials.

Reproduction

This can be reproduced with two httptest servers: one server returns a redirect to a second server, and the second server records whether the redirected request contains the transport-added authorization headers.

Proposed fix

PR #4364 avoids adding these credentials on cross-origin redirect requests and includes regression coverage for both affected transports.

Linguagem predominante
Go
Estrelas
11.3k
Forks
2.6k
Merge médio
1d 22h
PRs com merge (30d)
45

Preparar o ambiente

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de google/go-github

Todas as issues de google/go-github

Issues semelhantes

Mais issues de Go

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.