web代理中对标头的未正确隐藏处理导致敏感信息泄露
Opened this issue · 22 comments
Please make sure of the following things
-
I have read the documentation.
我已经阅读了文档。 -
I'm sure there are no duplicate issues or discussions.
我确定没有重复的issue或讨论。 -
I'm sure it's due to
AListand not something else(such as Network ,DependenciesorOperational).
我确定是AList的问题，而不是其他原因（例如网络，依赖或操作）。 -
I'm sure this issue is not fixed in the latest version.
我确定这个问题在最新版本中没有被修复。
AList Version / AList 版本
3.35
Driver used / 使用的存储驱动
Onedrive
Describe the bug / 问题描述
当开启了alist中的web代理时：
获取到的onedrive文件的HTTP标头中会出现doicd等信息，可以清楚的查看到文件来自于onedrive的哪个组织，且有标识码对应用户：
不知道是故意这样设计的还是一个漏洞，如果是故意暴露的请忽略，如果是设计漏洞请处理
PS：不止OD有这个问题，测试了几个存储器都一样
Reproduction / 复现链接
http://192.168.0.154:5244/onedrive/摄影/2024.12.12约拍coser/0071.mp4
Config / 配置
无。
Logs / 日志
No response
请了解下透明代理。
什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。
请了解下透明代理。 什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。
什么叫做透明代理？
什么叫“什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。”
请了解下透明代理。 什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。
什么叫做透明代理？
什么叫“什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。”
谷歌
请了解下透明代理。 什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。
什么叫“什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。”谷歌
“不知道是故意这样设计的还是一个漏洞，如果是故意暴露的请忽略，如果是设计漏洞请处理”
字典
请了解下透明代理。 什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。
什么叫“什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。”谷歌
“不知道是故意这样设计的还是一个漏洞，如果是故意暴露的请忽略，如果是设计漏洞请处理” 字典
不改没必要改成了坐实“故意设计暴露”，你会说人话不？
请了解下透明代理。 什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。
什么叫“什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。”谷歌
“不知道是故意这样设计的还是一个漏洞，如果是故意暴露的请忽略，如果是设计漏洞请处理” 字典
不改没必要改成了坐实“故意设计暴露”，你会说人话不？
那你就说不改没必要，你会说人话吗？怼天怼地怼空气？做惯了键盘侠？
请了解下透明代理。 什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。
什么叫“什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。”谷歌
“不知道是故意这样设计的还是一个漏洞，如果是故意暴露的请忽略，如果是设计漏洞请处理” 字典
不改没必要改成了坐实“故意设计暴露”，你会说人话不？
那你就说不改没必要，你会说人话吗？怼天怼地怼空气？做惯了键盘侠？
你是问改不改？你自用怕啥泄露，共享自己承担风险。给你答案还得把饭喂你嘴里。
请了解下透明代理。 什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。
什么叫“什么叫故意设计暴露请忽略，如果觉得有隐私泄露自己改或者不用。”谷歌
“不知道是故意这样设计的还是一个漏洞，如果是故意暴露的请忽略，如果是设计漏洞请处理” 字典
不改没必要改成了坐实“故意设计暴露”，你会说人话不？
那你就说不改没必要，你会说人话吗？怼天怼地怼空气？做惯了键盘侠？
你是问改不改？你自用怕啥泄露，共享自己承担风险。给你答案还得把饭喂你嘴里。
戾气这么重，古语云问答两不亏，你不改就不改戾气这么大干什么，平时生活很不幸？
笑死我了，''如果是故意暴露的请忽略''，真没人求你用，这都作者都故意了你还用，你是犯贱吗。自己去写一个程序多好。
不是，怎么攻击性都这么强啊，我觉得如果人家真的不知道这是bug还是特性，发个issue问问也没什么问题吧
你试试不用alist直接访问会不会有这些信息，如果会有，那就是刻意这么设计的
不是，怎么攻击性都这么强啊，我觉得如果人家真的不知道这是bug还是特性，发个issue问问也没什么问题吧 你试试不用alist直接访问会不会有这些信息，如果会有，那就是刻意这么设计的
提 issue 上来直接就堵死了。公共场合还是得注意言论，这跟 alist 限我速没区别，故意设计对 alist 有啥好处。
不是，怎么攻击性都这么强啊，我觉得如果人家真的不知道这是bug还是特性，发个issue问问也没什么问题吧 你试试不用alist直接访问会不会有这些信息，如果会有，那就是刻意这么设计的
提 issue 上来直接就堵死了。公共场合还是得注意言论，这跟 alist 限我速没区别，故意设计对 alist 有啥好处。
首先上面回复你的都是一般群众，包括我也是，所以这不叫堵死了，其次这么设计的原因最上面已经说了，这个设计就叫透明代理，本质上是模拟你直接访问网盘API的效果，具体好处有哪些你自己查吧。我大概能明白你为什么觉得这么设计有问题，但是这个东西最初的应用场景跟你想的可能不太一样
不是，怎么攻击性都这么强啊，我觉得如果人家真的不知道这是bug还是特性，发个issue问问也没什么问题吧 你试试不用alist直接访问会不会有这些信息，如果会有，那就是刻意这么设计的
提 issue 上来直接就堵死了。公共场合还是得注意言论，这跟 alist 限我速没区别，故意设计对 alist 有啥好处。
首先上面回复你的都是一般群众，包括我也是，所以这不叫堵死了，其次这么设计的原因最上面已经说了，这个设计就叫透明代理，本质上是模拟你直接访问网盘API的效果，具体好处有哪些你自己查吧。我大概能明白你为什么觉得这么设计有问题，但是这个东西最初的应用场景跟你想的可能不太一样
对自己暴露算哪门子泄露隐私？302 下载地址还有 uid 呢？这种也是故意设计故意暴露？共享出去就得承担风险。
不是，怎么攻击性都这么强啊，我觉得如果人家真的不知道这是bug还是特性，发个issue问问也没什么问题吧 你试试不用alist直接访问会不会有这些信息，如果会有，那就是刻意这么设计的
提 issue 上来直接就堵死了。公共场合还是得注意言论，这跟 alist 限我速没区别，故意设计对 alist 有啥好处。
首先上面回复你的都是一般群众，包括我也是，所以这不叫堵死了，其次这么设计的原因最上面已经说了，这个设计就叫透明代理，本质上是模拟你直接访问网盘API的效果，具体好处有哪些你自己查吧。我大概能明白你为什么觉得这么设计有问题，但是这个东西最初的应用场景跟你想的可能不太一样
对自己暴露算哪门子泄露隐私？302 下载地址还有 uid 呢？这种也是故意设计故意暴露？共享出去就得承担风险。
所以这就是我说的，这个东西设计的初衷就不是用来共享的，初衷是自己一个人用或者几个比较熟的人小本创业啥的用，你要共享自然就会遇到这个问题
如果你就是想向不定主体共享，觉得现有设计不能满足你的需求，你可以提一个enhancement，但你不应该把它当成一个bug来理解，设计都是舍弃一些换取一些的
另外提醒你一下，你把网盘里的内容共享给第三方的做法不符合大部分网盘的用户条款，运气不好可能会被封，如果有条件还是建议你搭图床或者买个对象存储啥的
敲代码只是某一瞬间的想法，并没有故意不故意一说。
敲代码只是某一瞬间的想法，并没有故意不故意一说。
真求你了你去查查透明代理是什么意思吧，而且像你说的302那个问题，你就没发现它返回的链接甚至根本就不是alist的链接吗，他那么搞就是为了让流量绕开alist所在的服务器的，对于alist所在的服务器有内网穿透等流量计费服务，或者云服务最便宜一档服务器那种流量很小的情况，好处都是非常明显的，让你说的就一无是处了。一个4万5 Star的项目，在你的理解里这么严重的问题居然你是第一个觉得有问题的，你不想想为什么吗
敲代码只是某一瞬间的想法，并没有故意不故意一说。
真求你了你去查查透明代理是什么意思吧，而且像你说的302那个问题，你就没发现它返回的链接甚至根本就不是alist的链接吗，他那么搞就是为了让流量绕开alist所在的服务器的，对于alist所在的服务器有内网穿透等流量计费服务，或者云服务最便宜一档服务器那种流量很小的情况，好处都是非常明显的，让你说的就一无是处了。一个4万5 Star的项目，在你的理解里这么严重的问题居然你是第一个觉得有问题的，你不想想为什么吗
泄露 uid 也属于他说的泄露隐私。我什么时候说 302 有问题了？我第一条回复就说了没问题，是他自己要共享才觉得有问题。
敲代码只是某一瞬间的想法，并没有故意不故意一说。
真求你了你去查查透明代理是什么意思吧，而且像你说的302那个问题，你就没发现它返回的链接甚至根本就不是alist的链接吗，他那么搞就是为了让流量绕开alist所在的服务器的，对于alist所在的服务器有内网穿透等流量计费服务，或者云服务最便宜一档服务器那种流量很小的情况，好处都是非常明显的，让你说的就一无是处了。一个4万5 Star的项目，在你的理解里这么严重的问题居然你是第一个觉得有问题的，你不想想为什么吗
泄露 uid 也属于他说的泄露隐私。我什么时候说 302 有问题了？我第一条回复就说了没问题，是他自己要共享才觉得有问题。
完蛋，我成小丑了，我把人搞反了，我以为你是提这个issue的
敲代码只是某一瞬间的想法，并没有故意不故意一说。
真求你了你去查查透明代理是什么意思吧，而且像你说的302那个问题，你就没发现它返回的链接甚至根本就不是alist的链接吗，他那么搞就是为了让流量绕开alist所在的服务器的，对于alist所在的服务器有内网穿透等流量计费服务，或者云服务最便宜一档服务器那种流量很小的情况，好处都是非常明显的，让你说的就一无是处了。一个4万5 Star的项目，在你的理解里这么严重的问题居然你是第一个觉得有问题的，你不想想为什么吗
泄露 uid 也属于他说的泄露隐私。我什么时候说 302 有问题了？我第一条回复就说了没问题，是他自己要共享才觉得有问题。
没事了，确实，共享出去就得承担风险，咱俩话没说到一个频道上
敲代码只是某一瞬间的想法，并没有故意不故意一说。
真求你了你去查查透明代理是什么意思吧，而且像你说的302那个问题，你就没发现它返回的链接甚至根本就不是alist的链接吗，他那么搞就是为了让流量绕开alist所在的服务器的，对于alist所在的服务器有内网穿透等流量计费服务，或者云服务最便宜一档服务器那种流量很小的情况，好处都是非常明显的，让你说的就一无是处了。一个4万5 Star的项目，在你的理解里这么严重的问题居然你是第一个觉得有问题的，你不想想为什么吗
泄露 uid 也属于他说的泄露隐私。我什么时候说 302 有问题了？我第一条回复就说了没问题，是他自己要共享才觉得有问题。
不过我觉得他口中的“故意”从含义上讲指的是“刻意”，你俩没必要撕的