在用户名和密码中使用基本身份验证空白字面大括号（未知占位符）

QQ 哪个区域

caddyauth( 基本认证)

发生了什么事?

基本认证提供者用“repl”扩展账户用户名和密码。 替换“ ” , 替换“ ” 后, 替换“ ” 将“... ” 改为“ ” 。

一个像

QQ卡迪文件 基本( A) { 虱子- {bogus} < bcrypt hash > {\fn黑体\fs22\bord1\shad0\3aHBE\4aH00\fscx67\fscy66\2cHFFFFFF\3cH808080}你觉得呢?

将“aice-”(被吞入了不知名的牙套)作为账户,将“ab{cd}ef”等牙套的密码值悄悄地重写到“abef”中,“abef”仍然被描述为有效的基数64,但不是一个可用的bcrypt散列,因此配置错误悄悄地通过提供,登录失败了而不是配置错误

响应头被切换到"重置已知" 在# 8014 中被切换到 “ 重置已知 ” , 在 # 4880 中被切换到标题处理器( 类同 # 4418) , 因此基本的认证证书看起来像仍然保存在“ 重置全部” 上的剩余配置数据站点

### repro (1个命令,去测试主机56e3a88e)

./modules/caddyhttp/caddyauth/ -运行的测试基本认证 - 计数=1

未激活主机的原始输出 :

-- -- FAIL: 测试基本认证 预留未知的持有者用户名( 0. 0s) basicauth test.go:43: 需要配置用户名的账户,并获得账户 ["alice-"] --- FAIL: 测试基本认证 Provision Rejections BracedPassword InsteadOf Rewrite it (0. basicauth test.go:98: 期望为带有字形括号的密码提供失败的提供,相反它接受了重写密码"i\xb7\x9f". 错误

期望 : 身份不明 . . . . . . .

翻译:

56e3a88e(v2.10.2号后)

援助披露

大赦国际使用了:是的,用于起草本报告的测试和格式