[Bug] Library expects all cookies to be URL encoded
还没有人认领这个 Issue。
评估
- 难度
- 4/5
- 预计耗时
- 3-5 天
- 新手友好度
- 30/100
- Issue 类型
- 缺陷
- 描述清晰度
- 需要澄清
- 活跃度
- 停滞
- 技术栈
- javascript, node.js
调研方向
该 issue 没有指定文件或测试。首先定位 lambda-api 中 cookie 解析和 URL 解码的路径，然后重现包含无效“%”序列的 cookie 值。比较有效的 URL 编码值与非标准 cookie 值；当格式错误的输入不再引发异常且标准解码仍然正确时，即表示完成。
由索引模型根据 Issue 内容生成。
描述
There is some historical ambiguity as to what the cookie value can contain. While there is a convention that the cookie value should be URL encoded, the specs don't seem to enforce this. lambda-api expects that the cookie value be URL encoded string. Any cookie containing a "%" character without a valid sequence will fail cookie decoding and can create an exception and a denial of service.
Fixing this is a bit tricky, as we would still want to correctly URL decode any standard cookie value while supporting non-standard ones. It might be worth discussing the correct solution here.
Some reference I found regarding the permitted characters in a cookie value:
- 主要语言
- JavaScript
- 星标
- 1.5k
- 派生
- 127
- PR 合并指标
- 30 天内没有已合并 PR
环境准备
这个项目没有提供开发容器、Dockerfile 或贡献指南，环境需要你自己搭建：先看它的 README，通用步骤见我们的新手贡献指南。
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
jeremydaly/lambda-api 的其他 Issue
-
难度 1/5 1 小时以内 新手友好度 88/100
jeremydaly/lambda-api#356 ·
-
Logger Output可能重新可做 @naorpeled 于 900 天前认领，目前没有进行中的 PR。 未关闭
jeremydaly/lambda-api#259 · 1 条评论 · 已指派 1 人 ·
-
Is it possible to disable versioning?可能已有人在做 @naorpeled 于 94 天前认领。 未关闭
难度 3/5 1-2 天 新手友好度 52/100
jeremydaly/lambda-api#257 · 5 条评论 ·
-
难度 3/5 1-2 天 新手友好度 38/100
jeremydaly/lambda-api#251 · 1 条评论 ·
-
难度 3/5 1-2 天 新手友好度 35/100
jeremydaly/lambda-api#245 · 2 条评论 ·
查看 jeremydaly/lambda-api 的全部 Issue
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 88/100
Effect-TS/effect#8881 · 1 条评论 ·
维护者通常 1 天内回复
-
mail processing verified
难度 2/5 1-3 小时 新手友好度 88/100
维护者通常 7 天内回复
-
2个显示的问题未关闭
难度 2/5 1-3 小时 新手友好度 62/100
coolsnowwolf/lede#14209 ·
-
L: github:actions L: php:composer
难度 2/5 1-3 小时 新手友好度 88/100
dependabot/dependabot-core#16493 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 68/100
维护者通常 1 天内回复