Ionsaí ar chórais tosaigh-deireadh-cúil a ligeann dúinn ding isteach iarrataí tríú páirtí

Nocht sonraí maidir le hionsaí nua ar shuímh a úsáideann múnla tosaigh-deireadh-cúl, mar iad siúd a ritheann trí líonraí seachadta inneachair, cothromóirí ualaigh nó seachvótálaithe. Ligeann an t-ionsaí, trí iarratais áirithe a sheoladh, ding isteach in ábhar iarrataí eile a phróiseáiltear sa snáithe céanna idir an t-éadan agus an t-inneall. Baineadh úsáid as an modh molta go rathúil chun ionsaí a eagrú a d'fhág gur féidir paraiméadair fíordheimhnithe úsáideoirí na seirbhíse PayPal a thascradh, rud a d'íoc thart ar 40 míle dollar do thaighdeoirí mar chuid de chlár chun eolas a thabhairt faoi láithreacht leochaileachtaí gan phas. Tá an t-ionsaí infheidhme freisin maidir le suíomhanna a úsáideann líonra seachadta ábhar Akamai.

Is é croílár na faidhbe ná go dtugann aghaidheanna agus cúláin leibhéil éagsúla tacaíochta go minic don phrótacal HTTP, ach ag an am céanna go ndéantar iarratais ó úsáideoirí éagsúla a chuimsiú i gcomhchainéal. Chun na hiarrataí glactha tosaigh agus na hiarrataí próiseála Inneall a nascadh, bunaítear nasc TCP a bhfuil cónaí air le fada, trína ndéantar iarratais úsáideoirí a tharchur, a tharchuirtear feadh an tslabhra ceann i ndiaidh a chéile, arna scaradh trí bhíthin an phrótacail HTTP. Chun iarratais a scaradh, is iad na ceannteidil "Content-Length" (cinnfidh sé méid iomlán na sonraí san iarraidh) agus "Aistriú-ionchódú: smutánaithe"(a ligeann duit sonraí a aistriú i gcodanna, ag sonrú bloic de mhéideanna éagsúla san fhormáid "{size}\r\n{block}\r\n{size}\r\n{block}\r\n0")."

Éiríonn an fhadhb mura dtacaíonn an t-éadan ach le “Content-Length” ach má dhéanann sé neamhaird ar “Aistriú-ionchódú: chunked” (mar shampla, rinne Akamai CDN é seo) nó vice versa. Má thacaítear le hIonchódú Aistrithe: smutánaithe ar an dá thaobh, is féidir gnéithe feidhmithe na parsálaithe ceanntásc HTTP a úsáid le haghaidh ionsaí (mar shampla, nuair a dhéanann an foirceann tosaigh neamhaird ar línte cosúil le “Aistriú-ionchódú: xchunked”, “Transfer-Ioncoding: chunked " , "Ionchódú Aistrithe" :[cluaisín]chunked", "X: X[\n]Ionchódú Aistrithe: smután", "Ionchódú Aistrithe[\n]: smutánaithe" nó "Ionchódú Aistrithe : smuta", agus d’éirigh leis an inneall iad a phróiseáil).

Sa chás seo, is féidir le hionsaitheoir iarratas a sheoladh ina bhfuil na ceannteidil "Content-Length" agus "Transfer-Encoding: toked", ach ní fhreagraíonn an méid in "Content-Length" do mhéid an tslabhra chun cinn, a níos lú ná an luach iarbhír. Má phróiseálann an tosaigh agus má chuireann sé an t-iarratas ar aghaidh de réir "Content-Length" agus má fhanann an t-innill leis an mbloc a chríochnú bunaithe ar "Ionchódú Aistrithe: Chunked", ansin cuirfear deireadh leis na sonraí bunaithe ar "Transfer-Encoding: chunked" a chinneadh níos luaithe agus eireaball an iarratais a bheidh fágtha le feiceáil ag an ionsaitheoir ag tús an chéad iarratas eile, i.e. beidh an t-ionsaitheoir in ann sonraí treallach a cheangal le tús iarratas duine eile a tharchuirfear an chéad uair eile.

Chun an fhadhb a chinneadh sa chomhcheangal tosaigh-inneall atá in úsáid agat, is féidir leat iarratas mar seo a sheoladh tríd an frontend:

POST / faoi HTTP / 1.1
Óstach: example.com
Aistriú-ionchódú: smutánaithe
Fad an Ábhair: 4

1
Z
Q

Tá an fhadhb ann mura bpróiseálann an t-inneall an t-iarratas láithreach agus má fhanann sé go dtiocfaidh an bloc teorann nialasach de shonraí smuchta. Chun seiceáil níos iomláine ullmhaithe áirgiúlacht speisialta a dhéanann tástáil freisin ar mhodhanna féideartha chun an ceanntásc “Aistriú-ionchódú: smután” a cheilt ón taobh tosaigh.

Braitheann fíorionsaí ar chumas an tsuímh faoi ionsaí, mar shampla, agus tú ag ionsaí feidhmchlár gréasáin Trello, is féidir tús na hiarrata a athsholáthar (sonraí ionaid mar “PUT /1/members/1234... x=x&csrf =1234&username=testzzz&bio=cake”) agus seol teachtaireacht lena n-áirítear buniarratas úsáideora tríú páirtí agus an Fianán fíordheimhnithe atá sonraithe ann. I gcás ionsaí ar saas-app.com, b'fhéidir go bhféadfaí cód JavaScript a chur in ionad an fhreagra trína chur in ionad ceann de na paraiméadair iarratais. Don ionsaí ar redhat.com, baineadh úsáid as láimhseálaí inmheánach chun atreorú chuig suíomh Gréasáin an ionsaitheora (iarratas ón bhfoirm “POST /search?dest=../assets/idx?redir=//[ríomhphost faoi chosaint]/ HTTP/1.1").

Trí leas a bhaint as an modh do líonraí seachadta inneachair is féidir an suíomh iarrtha a ionadú ach an ceanntásc “Óstach:" a chur in ionad an tsuímh iarrtha. Is féidir an t-ionsaí a úsáid freisin chun ábhar na gcóras taisceála ábhair a nimhiú agus chun sonraí rúnda i dtaisce a bhaint as. Ba é buaic an mhodha ná ionsaí ar PayPal a eagrú, rud a d’fhág gur féidir pasfhocail a chuir úsáideoirí isteach le linn an fhíordheimhnithe a thascradh (athraíodh an t-iarratas iframe chun JavaScript a rith i gcomhthéacs an leathanaigh paypal.com/us/gifts, le haghaidh cén CSP (Beartas Slándála Ábhar) nár cuireadh i bhfeidhm).

Suimiúil go leor, i 2005 bhí beartaithe teicníocht spoofing iarratais atá cosúil go bunúsach a ligeann duit spoof sonraí i seachvótálaithe taisce (Tomcat, squid, mod_proxy) nó seachbhóthar blocáil balla dóiteáin ag sonrú roinnt "GET" nó "POST" iarratas laistigh de seisiún HTTP amháin.

Foinse: oscailtenet.ru