From 0aa9b3a5677891c3e03d48a7f983a14de232dd3a Mon Sep 17 00:00:00 2001 From: Anton Vakhrushev Date: Sun, 23 Aug 2026 13:41:53 +0300 Subject: [PATCH] =?UTF-8?q?security.md:=20=D0=B7=D0=B0=D1=89=D0=B8=D1=82?= =?UTF-8?q?=D0=B0=20=D0=BE=D1=82=20=D0=BC=D0=BD=D0=BE=D0=B3=D0=BE=D0=B7?= =?UTF-8?q?=D0=BD=D0=B0=D1=87=D0=BD=D0=BE=D0=B3=D0=BE=20=D0=B7=D0=B0=D0=B3?= =?UTF-8?q?=D0=BE=D0=BB=D0=BE=D0=B2=D0=BA=D0=B0=20=D0=BE=D0=BF=D0=B8=D1=81?= =?UTF-8?q?=D0=B0=D0=BD=D0=B0=20=D1=82=D0=BE=D1=87=D0=BD=D0=B5=D0=B5?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Отбой двух значений закрывает только Remote-User; Remote-Email берётся первым и закрепляется за чужой учётной записью навсегда. Путь построен ревью 2026-08-23, правило распространяется на всю тройку отдельной задачей. --- docs/security.md | 9 +++++++-- 1 file changed, 7 insertions(+), 2 deletions(-) diff --git a/docs/security.md b/docs/security.md index eb54982..6676e6f 100644 --- a/docs/security.md +++ b/docs/security.md @@ -70,8 +70,13 @@ Telegram — связи чата с учётной записью сервис заголовок сам.** Сервис верит `Remote-User`, пришедшему с адреса из объявленного перечня, а перечень этот и есть адрес прокси. Прокси, настроенный **добавлять** заголовок вместо замены, оставит рядом со своим значением присланное анонимом — -и аноним войдёт под любым именем. Половину этой беды сервис закрывает сам: -запрос с двумя значениями `Remote-User` не узнаёт никого. Вторую половину +и аноним войдёт под любым именем. Часть этой беды сервис закрывает сам: +запрос с двумя значениями `Remote-User` не узнаёт никого. **Закрыт при этом +только логин.** `Remote-Name` и `Remote-Email` берутся первым значением, то есть +присланным анонимом, и адрес почты, занятый им, закрепляется за чужой учётной +записью навсегда: колонка уникальна, а найденную запись узнавание не +переписывает. Прогон ревью 2026-08-23 построил этот путь и прогнал его; +правило решено распространить на всю тройку отдельной задачей. Остальное проверить отсюда нечем: правило живёт в `files/caddyproxy/Caddyfile.template` репозитория `pet-project-server`, и **требование к нему такое — заголовки `Remote-*` прокси обязан перезаписывать, а не пропускать**. Выкладку запускает