No rate limiting on auth endpoints (login/signup/reset)
维护者通常 3 天内回复
评估
- 难度
- 4/5
- 预计耗时
- 3-5 天
- 新手友好度
- 45/100
- Issue 类型
- 功能
- 描述清晰度
- 基本清楚
- 活跃度
- 活跃
- 技术栈
- javascript
调研方向
首先针对列出的 auth 入口复现问题：POST /editor/login、POST /editor/signup、GET /editor/signup/duplicate_check 以及 reset-password 路由。跟踪这些路由到其实现，并定义阈值和 backoff 行为；完成的标准是过量请求收到 429 或等效的锁定，而正常请求继续正常工作。
由索引模型根据 Issue 内容生成。
描述
p5.js version
No response
What is your operating system?
None
Web browser and version
No response
Actual Behavior
Auth routes currently accept unlimited requests. There’s no throttling/cooldown behavior, so brute force and spam are trivial
Affected routes:
- POST /editor/login
- POST /editor/signup
- GET /editor/signup/duplicate_check
- POST /editor/reset-password
- POST /editor/reset-password/:token
Expected behavior:
After a threshold, API should return 429 Too Many Requests (or equivalent lockout/backoff)
Actual behavior:
Requests continue indefinitely with no throttling
Why this matters:
-Brute-force login attempts are not slowed down.
-Signup/reset flows can be abused for spam and account enumeration.
-This is a security gap, not just optimization.
Environment:
Repo: processing/p5.js-web-editor
Date observed: 2026-02-21
Local dev setup on Windows
Steps to reproduce:
- Send repeated requests to POST /editor/login with bad credentials in a loop.
- Repeat rapidly (100+ requests).
- Observe responses
- 主要语言
- JavaScript
- 星标
- 1.7k
- 派生
- 1.7k
- 平均合并
- 2 天 7 小时
- 30 天内合并 PR
- 8
环境准备
- 提供 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
processing/p5.js-web-editor 的其他 Issue
-
Renaming a folder doubles the folder name in file paths (console errors show /lib/lib/helper.js)未关闭Awaiting Maintainer Approval Bug
难度 2/5 1-3 小时 新手友好度 82/100
processing/p5.js-web-editor#4365 · 1 条评论 ·
维护者通常 3 天内回复
-
p5 logo is broken on verification emails可能已有人在做 @sourabh65mehta 于 9 天前认领。 未关闭Bug
难度 2/5 1-3 小时 新手友好度 62/100
processing/p5.js-web-editor#4364 · 2 条评论 · 已指派 1 人 ·
维护者通常 3 天内回复
-
`PATCH /editor/project/visibility` returns 200 with `null` and doesn't update when `projectId` is a slug可能重新可做 @Prbhtsgh 于 16 天前认领，目前没有进行中的 PR。 未关闭Awaiting Maintainer Approval Bug
难度 2/5 1-3 小时 新手友好度 78/100
processing/p5.js-web-editor#4348 · 3 条评论 ·
维护者通常 3 天内回复
-
Fix: example.js stores defaultHTML function reference instead of calling it, causing examples to display raw JavaScript source in preview可能重新可做 @syedbarkath980 于 21 天前认领，目前没有进行中的 PR。 未关闭Awaiting Maintainer Approval Bug
难度 2/5 1-3 小时 新手友好度 76/100
processing/p5.js-web-editor#4344 · 1 条评论 ·
维护者通常 3 天内回复
-
signup form gets stuck when signup request fails due to network error可能已有人在做 @PS01K 于 50 天前认领。 未关闭Awaiting Maintainer Approval Bug
难度 2/5 1-3 小时 新手友好度 78/100
processing/p5.js-web-editor#4285 · 3 条评论 ·
维护者通常 3 天内回复
查看 processing/p5.js-web-editor 的全部 Issue
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 76/100
bigcapitalhq/bigcapital#1544 · 1 条评论 ·
维护者通常 1 天内回复
-
help wanted kind/bug
难度 2/5 1-3 小时 新手友好度 78/100
meshery/meshery.io#3112 ·
维护者通常 2 天内回复
-
area:docs type:chore
难度 2/5 1-3 小时 新手友好度 82/100
bulkhead-labs/tailsuite#31 ·
-
dependencies javascript
难度 2/5 1-3 小时 新手友好度 70/100
gems-uff/noworkflow#470 ·
维护者通常 3 天内回复
-
product / auth product / console product / sites product / storage
难度 1/5 1 小时以内 新手友好度 84/100
维护者通常 1 天内回复