Hacktoberfest 2026：维护者为十月标记出来的 issue，仍然开放、适合新手。 浏览 Hacktoberfest issue

Pen-test suggestion - `loginuserpassorg.php` returns a 200 response

未关闭
#2,578 2 条评论 0 个 reaction 已指派 0 人 在 GitHub 查看

还没有人认领这个 Issue。

评估

难度
3/5
预计耗时
1-2 天
新手友好度
48/100
Issue 类型
功能
描述清晰度
基本清楚
活跃度
停滞
技术栈
php
领域
authentication, security

调研方向

从 /idp/module.php/core/loginuserpassorg.php 入口点开始，跟踪失败的 POST 身份验证请求是如何处理的，以及如何选择其响应。确认失败路径可以返回诸如 403 这样的防御性非成功状态，同时保留现有的成功响应行为，然后验证该 endpoint 的响应。

由索引模型根据 Issue 内容生成。

描述

feedback needed

Hi,

This is just a suggestion from our pen-testers, but they noted this:

In SimpleSAML2, sending POST requests to /idp/module.php/core/loginuserpassorg.php returns a 200 response with valid:false keys for authentication failure.

Because these are not 4xx or 5xx responses (and therefore triggering rate limiting), it may be possible to
brute-force this endpoint using known-good usernames.

The suggested solution is that a failure response returns a different code, such as a 403, so you can have an IPS look for that code for defensive purposes (e.g. rate limiting).

This isn't a major issue, just an opportunity for improvement from a security point of view. 🙂

Thanks,

Greg

主要语言
PHP
星标
1.1k
派生
704
平均合并
1 天 15 小时
30 天内合并 PR
4

贡献指南

打开贡献指南

从这里开始

  1. 先读完整个 Issue，再读项目的贡献指南。
  2. 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
  3. Fork 仓库，在一个分支上完成修改。
  4. 提交 Pull Request，并在描述里引用这个 Issue 编号。

simplesamlphp/simplesamlphp 的其他 Issue

查看 simplesamlphp/simplesamlphp 的全部 Issue

相似的 Issue

更多 PHP Issue

把新 issue 发到你的邮箱

精选适合新手参与的 GitHub issue 摘要。