Patch: Stricter 2FA enforcement for PATs in API middleware (FD-56499)

漏洞关键信息总结 漏洞概述 标题：2FA: Fixed FD-56499 - Stricter 2FA enforcement for existing PATs on API 类型：安全加固 / 认证逻辑修复 状态：已合并 (Merged) 影响范围 受影响组件：API 中间件，特别是针对 Personal Access Tokens (PATs) 的认证流程。 受影响用户： 未启用 2FA 的用户（在 模式下）。 已启用 2FA 但未完成 TOTP 验证的 PAT 持有者。 核心问题： 1. 会话状态检查错误：旧逻辑错误地依赖 来验证 PAT 请求，导致即使 PAT 有效，若会话未通过 2FA 验证也会被拦截或放行逻辑混乱。 2. 重定向/JSON 响应问题：API 组（ group）需要 4xx JSON 响应，但旧逻辑可能返回 302 重定向（用于 Web 页面），导致 API 客户端无法正确处理。 3. 无状态 Bearer Token 的局限性：PAT 是持久令牌，无法像 Web 会话那样强制进行实时的 TOTP 验证。旧逻辑试图通过检查 Web 会话状态来验证 PAT，这是错误的。 修复方案 新增中间件：引入 中间件。 逻辑变更： 移除旧检查：不再依赖 来验证 PAT。 新验证逻辑： 在 模式下，强制要求 PAT 的所有者必须已启用 2FA。 如果用户未启用 2FA，返回 错误，并提示 。 如果用户已启用 2FA，则允许 PAT 访问（因为 PAT 本身被视为一种已验证的凭证，无需每次请求都进行 TOTP 验证，但必须确保账户已开启 2FA 保护）。 错误响应：统一返回 状态码和 JSON 格式的错误信息，符合 API 规范。 测试覆盖： 禁用 2FA 时，PAT 正常工作。 可选模式（ ）下，未启用 2FA 的 PAT 正常工作。 必需模式（ ）下，未启用 2FA 的 PAT 被阻止。 必需模式下，已启用 2FA 的 PAT 正常工作。 无令牌请求仍返回 403（未认证）。 POC / 利用代码 无直接 POC 代码：此 PR 是修复代码，而非漏洞利用代码。 相关代码片段（修复逻辑）： 注：具体实现细节未在截图中完整展示，但逻辑描述清晰。 其他备注 关联 Issue：FD-56499 合并时间：2024年7月12日 作者：snipe 审查者：无（自动合并或内部流程） CI/CD：所有检查通过 (12 of 13 checks passed, 1 skipped)

目標達成すべての支援者に感謝 — 100%達成しました！

Patch: Stricter 2FA enforcement for PATs in API middleware (FD-56499)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Patch: Stricter 2FA enforcement for PATs in API middleware (FD-56499)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！