CORS
1 篇-
鉴权前不做 I/O，Header 不授予权限
本文记录通过 PR #101（提交 938603458 至 04b097fd9）合入 SILO、编号为 SN-2026-008 并随 Server 20260903 发布的 CORS 热路径与复制请求信任边界修复。 概览 两个表面上互不相关的缺陷，实际上源于同一个架构层面的设计失误： 任何携带 Origin 请求头的 HTTP 请求都会促使最外层 CORS 中间件把 URL 第一段路径当成存储桶名称，并在身份认证之前同步从磁盘加载该桶的元数据。 任何携带 …
本文记录通过 PR #101（提交 938603458 至 04b097fd9）合入 SILO、编号为 SN-2026-008 并随 Server 20260903 发布的 CORS 热路径与复制请求信任边界修复。 概览 两个表面上互不相关的缺陷，实际上源于同一个架构层面的设计失误： 任何携带 Origin 请求头的 HTTP 请求都会促使最外层 CORS 中间件把 URL 第一段路径当成存储桶名称，并在身份认证之前同步从磁盘加载该桶的元数据。 任何携带 …