Needed fix for corsProxy (server operators must read)

オープン
#1,768 コメント 8 件 リアクション 0 件 担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度
4/5
見積もり時間
3〜5日
初心者へのやさしさ
30/100
issue の種類
バグ
明瞭さ
おおむね明確
活発さ
停滞
技術スタック
javascript, node.js
領域
api, backend, security

調査の方向性

まず corsProxy の実装とリクエスト処理のテストを見つけます。この issue ではファイルやテストが指定されていません。Origin の値がない場合または許可されていない場合と、RDF の Content-Type を持たない下流レスポンスについて、動作を確認します。これらのケースが 400 または同様の結果を返し、許可された RDF レスポンスが引き続き機能すれば完了です。

索引モデルが issue の本文から書いたものです。

説明

Action required

If you are an NSS server operator, please check that your settings use the default "corsProxy": false.
If you have a public facing server with "corsProxy": true, please change it to "corsProxy": false until the suggested fix below is deployed.

Fix

The CORS proxy needs to be changed as follows:

  • If no Origin field present in the HTTP request, respond with a 400 or similar.
  • If the Origin value in the request is not the server's configured domain (podhost.example) or a direct subdomain thereof (alice.podhost.example), respond with 400 or similar.
  • If, after satistying the above two conditions, the response received from the downstream server does not indicate an RDF content type in its headers (such as Turtle, HTML, etc.), respond with 400.
    • In particular, images, videos, PDFs etc. must result in a 400.
    • The connection to the downstream server can and should be closed prematurely if the content type is not RDF.
主要言語
JavaScript
スター
1.8k
フォーク
308
30日以内にマージされた PR はありません

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

nodeSolidServer/node-solid-server のほかの issue

nodeSolidServer/node-solid-server の issue をすべて見る

似ている issue

JavaScript の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。