Наблюдайте путь,
не вердикт.
Ограниченная одноразовая предполетная проверка для одного общедоступного источника и до пяти относительных путей. Результаты сохраняются только в памяти этой страницы в виде наблюдений, а не в виде объявлений вверх/вниз или службы мониторинга в реальном времени.
ИСПОЛЬЗУЙТЕ ДЛЯ: Используйте непосредственно перед или после контролируемого выпуска, чтобы собрать небольшой, явный набор наблюдений и передать работу по текущему статусу SID.
Ограничьте вопрос.
Отправьте один общедоступный источник HTTP(S) и от одного до пяти относительных путей к ограниченному предполетному объекту SIU. Не вводите учетные данные, частные маршруты, идентификаторы клиентов или конфиденциальные строки запроса.
Не вывод «работает» или «не работает».
Ответ HTTP от ограниченной проверки представляет собой наблюдение на определенный момент времени. Он не устанавливает доступность, время безотказной работы, влияние на клиента или основную причину.
- Результаты остаются только в памяти этой открытой страницы.
- Статус HTTP требует контекста; это не вердикт о здоровье продукта.
Что было получено.
Прочтите эти записи с учетом контекста выпуска и утвержденной проверки пути клиента. Они очищаются, когда эта страница обновляется или покидается.
Выполните следующий известный шаг.
- Укажите один общедоступный источник HTTP(S) и от одного до пяти относительных путей. Предварительная проверка на стороне сервера получает именно этот ограниченный запрос и применяет строгие проверки целевой безопасности.
- Храните полученные наблюдения только на открытой странице. Записывайте все необходимые последующие действия в утвержденной внутренней системе команды, а не в этом общедоступном интерфейсе.
- Интерпретируйте наблюдения за ответами с учётом контекста выпуска, границ аутентификации, кэширования, географии и сообщений клиентов. Эскалируйте текущие проблемы в SID и в процесс обработки инцидентов команды.
Убедитесь, что каждый отправленный путь относится к указанному источнику и его можно безопасно наблюдать без учетных данных.
Прежде чем принимать решение, сравните наблюдение с предполагаемым путешествием клиента и записью о выпуске.
Используйте назначение SID и одобренный рабочим процессом ответа команды для текущей работы по статусу или работы, влияющей на клиента.
Заметки об источнике, а не заимствованная уверенность.
Основа планирования: семантика MDN Fetch и меры защиты OWASP от SSRF
- MDN — Window.fetch() ↗MDN отмечает, что промис fetch разрешается, когда доступен ответ, и не отклоняется только из‑за статуса ошибки HTTP; статус ответа всё ещё требует интерпретации.
- OWASP — Server Side Request Forgery Prevention Cheat Sheet ↗OWASP рекомендует строгую проверку цели, тщательную обработку DNS, отклонение частных адресов и контроль перенаправления для запросов на стороне сервера.
Авторство: Редакционный черновик SIU Enablement; оперативное руководство, ограниченное источниками. Проверил(а): Владелец релиза и владелец платформы одобряют выбранные пути и любую интерпретацию результатов. Перепроверить: Повторно проверяйте набор наблюдений при изменении маршрутизации, аутентификации, хостинга или пути клиента.