Pagmasdan ang landas,
hindi isang hatol.
Isang bounded na isang beses na preflight para sa isang pampublikong pinanggalingan at hanggang sa limang magkakaugnay na landas. Ang mga resulta ay pinananatili lamang sa memorya ng page na ito bilang mga obserbasyon—hindi isang pataas/pababa na deklarasyon o isang live na serbisyo sa pagsubaybay.
GAMITIN ITO PARA SA: Gamitin kaagad bago o pagkatapos ng isang kinokontrol na release upang mangolekta ng maliit, tahasang observation set at ibigay ang live na status work sa SID.
Limitahan ang tanong.
Magpadala ng isang pampublikong HTTP(S) na pinanggalingan at isa hanggang limang relatibong path sa bounded SIU preflight. Huwag maglagay ng mga kredensyal, pribadong ruta, pagkakakilanlan ng customer, o mga sensitibong string ng query.
Hindi ito hatol na gumagana o hindi gumagana.
Ang HTTP na tugon mula sa isang bounded check ay isang point-in-time na pagmamasid. Hindi ito nagtatatag ng availability, uptime, epekto sa customer, o isang ugat na dahilan.
- Ang mga resulta ay mananatili lamang sa memorya ng bukas na pahinang ito.
- Nangangailangan ng konteksto ang status ng HTTP; ito ay hindi isang hatol sa kalusugan ng produkto.
Ang ibinalik.
Basahin ang mga entry na ito nang may konteksto ng release at naaprubahang pag-verify ng customer-path. Maki-clear ang mga ito kapag na-refresh o iniwan ang page na ito.
Gawin ang susunod kilalang hakbang.
- Magbigay ng isang pampublikong HTTP(S) na pinagmulan at mula sa isa hanggang limang magkakaugnay na landas. Ang preflight sa gilid ng server ay nakakatanggap ng eksaktong bounded na kahilingan at naglalapat ng mahigpit na target-safety checks.
- Panatilihin ang ibinalik na mga obserbasyon sa bukas na pahina lamang. Itala ang anumang kinakailangang follow-up sa aprubadong internal system ng team, hindi sa pampublikong interface na ito.
- Bigyang-kahulugan ang mga obserbasyon sa pagtugon kasama ng konteksto ng paglabas, mga hangganan ng pagpapatotoo, pag-cache, heograpiya, at mga ulat ng customer. Idulog ang mga live na alalahanin sa SID at sa proseso ng insidente ng team.
Kumpirmahin na ang bawat isinumiteng landas ay nauugnay sa ibinigay na pinagmulan at ligtas na obserbahan nang walang mga kredensyal.
Ihambing ang isang obserbasyon sa nilalayong paglalakbay ng customer at ang rekord ng paglabas bago gumawa ng desisyon.
Gamitin ang SID na patutunguhan at ang naaprubahang daloy ng trabaho ng pagtugon ng team para sa patuloy na trabaho sa katayuan na nakakaapekto sa customer.
Mga tala ng pinagmulan, hindi hiniram na katiyakan.
Batayan sa pagpaplano: MDN Kunin ang mga semantika at OWASP SSRF na mga pag-iingat
- MDN — Window.fetch() ↗Ang MDN ay nagsasaad na ang isang pangako sa pagkuha ay malulutas kapag ang isang tugon ay available at hindi tinatanggihan para lamang sa HTTP na status ng error; nangangailangan pa rin ng interpretasyon ang status ng tugon.
- OWASP — Server Side Request Forgery Prevention Cheat Sheet ↗Inirerekomenda ng OWASP ang mahigpit na pagpapatunay ng target, maingat na pangangasiwa ng DNS, pagtanggi sa pribadong address, at mga kontrol sa pag-redirect para sa mga kahilingan sa panig ng server.
May-akda: SIU Enablement editorial draft; gabay sa pagpapatakbo na may hangganan sa pinagmulan. Sinuri ni: Inaprubahan ng may-ari ng release at may-ari ng platform ang mga napiling path at anumang interpretasyon ng mga resulta. Muling beripikahin: Muling i-validate ang hanay ng obserbasyon kapag nagbago ang pagruruta, pagpapatotoo, pagho-host, o mga paglalakbay ng customer.