fix(web): same-origin check on cookie-authenticated kit and collection writes
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
- 难度
- 3/5
- 预计耗时
- 1-2 天
- 新手友好度
- 72/100
- Issue 类型
- 缺陷
- 描述清晰度
- 描述清楚
- 活跃度
- 活跃
- 技术栈
- typescript
调研方向
Read apps/web/app/lib/auth/same-origin.ts, then trace the write paths in kit-http.ts and collection-http.ts. Check how those routes distinguish session-cookie authentication from API-key clients, and run the route tests. Done means each route group rejects a foreign Origin with 403 for cookie-authenticated writes while same-origin and header-less requests pass and API-key clients keep working.
由索引模型根据 Issue 内容生成。
描述
Follow-up to #101, which covered favorite/vote/rate/review. The personal kit (kit-http.ts) and collection (collection-http.ts) write paths accept session cookies without crossOriginRefusal (apps/web/app/lib/auth/same-origin.ts). They are currently shielded by the mandatory Content-Type: application/json (and preflight for PATCH/DELETE), so this is defence in depth, not an open hole. Apply the check only when the request is authenticated by the session cookie, so API-key clients keep working; add a test per route group: a foreign Origin returns 403, while same-origin and header-less requests pass. Found during review of #112.
- 主要语言
- TypeScript
- 星标
- 190
- 派生
- 42
- 平均合并
- 5 小时 50 分钟
- 30 天内合并 PR
- 37
环境准备
这个项目没有提供开发容器、Dockerfile 或贡献指南，环境需要你自己搭建：先看它的 README，通用步骤见我们的新手贡献指南。
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
nextlevelbuilder/skillx 的其他 Issue
-
ai-handle
难度 2/5 1-3 小时 新手友好度 83/100
nextlevelbuilder/skillx#105 ·
维护者通常 1 天内回复
-
bug
难度 2/5 1-3 小时 新手友好度 76/100
nextlevelbuilder/skillx#28 ·
维护者通常 1 天内回复
-
refactor
难度 2/5 1-3 小时 新手友好度 82/100
nextlevelbuilder/skillx#27 ·
维护者通常 1 天内回复
-
feat(compatibility): write declared compatibility_json on publish, sync and backfill可能已有人在做 @mrgoonie 今天认领。 未关闭
nextlevelbuilder/skillx#119 · 已指派 1 人 ·
维护者通常 1 天内回复
-
feat(quality-packs): QGP foundation packs, private overrides và three-way rebase giữ nguyên opt-out未关闭enhancement
难度 5/5 一周以上 新手友好度 18/100
nextlevelbuilder/skillx#108 ·
维护者通常 1 天内回复
查看 nextlevelbuilder/skillx 的全部 Issue
相似的 Issue
-
bug
难度 2/5 1-3 小时 新手友好度 76/100
cloudscape-design/components#5184 ·
维护者通常 2 天内回复
-
enhancement
难度 2/5 1-3 小时 新手友好度 75/100
JarX-Concepts/react-native-platform-components#130 ·
维护者通常 1 天内回复
-
fix(api): optimize-for-web /preview outer catches miss asDecoderOutOfMemory on V8 OOM and SIGKILL未关闭area: backend bug priority: low
难度 2/5 1-3 小时 新手友好度 83/100
snapotter-hq/SnapOtter#3773 ·
维护者通常 1 天内回复
-
ai-driven-qa ux-audit
难度 2/5 1-3 小时 新手友好度 78/100
linagora/twake-contacts-frontend#386 ·
维护者通常 1 天内回复
-
git: README should state plainly that without --repository every reachable repository is in scope未关闭documentation server-git v2
难度 1/5 1-3 小时 新手友好度 84/100
modelcontextprotocol/servers#5225 ·
维护者通常 1 天内回复