AlistGo / AlistGo/alist

web代理中对标头的未正确隐藏处理导致敏感信息泄露

Abierto
#7,657 22 comentarios 0 reacciones 0 asignados Ver en GitHub
bug
Lenguaje dominante
Go
Estrellas
50.2k
Forks
7.9k
Merge medio
7 d 21 h
PR fusionados (30 d)
6

Descripción

### Please make sure of the following things

- [X] I have read the [documentation](https://alist.nn.ci).
我已经阅读了[文档](https://alist.nn.ci)。

- [X] I'm sure there are no duplicate issues or discussions.
我确定没有重复的issue或讨论。

- [X] I'm sure it's due to `AList` and not something else(such as [Network](https://alist.nn.ci/faq/howto.html#tls-handshake-timeout-read-connection-reset-by-peer-dns-lookup-failed-connect-connection-refused-client-timeout-exceeded-while-awaiting-headers-no-such-host) ,`Dependencies` or `Operational`).
我确定是`AList`的问题,而不是其他原因(例如[网络](https://alist.nn.ci/zh/faq/howto.html#tls-handshake-timeout-read-connection-reset-by-peer-dns-lookup-failed-connect-connection-refused-client-timeout-exceeded-while-awaiting-headers-no-such-host),`依赖`或`操作`)。

- [X] I'm sure this issue is not fixed in the latest version.
我确定这个问题在最新版本中没有被修复。

### AList Version / AList 版本

3.35

### Driver used / 使用的存储驱动

Onedrive

### Describe the bug / 问题描述

当开启了alist中的web代理时:
![2](https://github.com/user-attachments/assets/2e4fbc7e-de41-4371-8c6a-86bb029d41af)
获取到的onedrive文件的HTTP标头中会出现doicd等信息,可以清楚的查看到文件来自于onedrive的哪个组织,且有标识码对应用户:
![1](https://github.com/user-attachments/assets/d6e5a94d-7fb5-4494-9de9-ab07299fc932)

不知道是故意这样设计的还是一个漏洞,如果是故意暴露的请忽略,如果是设计漏洞请处理
PS:不止OD有这个问题,测试了几个存储器都一样

### Reproduction / 复现链接

http://192.168.0.154:5244/onedrive/摄影/2024.12.12约拍coser/0071.mp4

### Config / 配置

无。

### Logs / 日志

_No response_

Guía de contribución

Abrir la guía de contribución

Evaluación

Este issue todavía no se ha evaluado.

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.