Obsidian

细雨初晴

表单一次性凭证被重复请求作废 (One-Shot Form Credentials Invalidated by Repeat Requests)

结论先说登录表单里的一次性凭证 —— 隐藏的防伪 token、图形验证码 —— 是「取一次、用一次」的。在同一个会话里多取一次,上一次的就作废了。浏览器里这个坑极难自己发现,因为:报错话术指向验证码(「验证码错误」),实际可能是 token 的问题,反之亦然图片/表单看起来正常,受害者看不出任何异常换成无痕、换浏览器、换网络 —— 全都无效,因为它不在本地用脚本时反而容易避开:一个会话里取一次,立

Obsidian

细雨初晴

平台无法传请求头时用 nginx 注入鉴权 (Injecting Auth Headers via nginx for Header-Blind Clients)

场景一个第三方平台（如校园智能体平台）要连你的 MCP 服务，但它的「注册远程服务」表单只有 URL 输入框，没有自定义请求头的地方。而你的 MCP 服务是 Bearer 鉴权的 —— 不收 Authorization 头就回 401。症状在平台里填正确 URL，连接失败：SSE error: Non-200 status code (401)用 curl 手测同一个 URL 带 Bearer 头

Obsidian

细雨初晴

OpenAI 兼容网关的参数透传验证 (Verifying Parameter Passthrough in OpenAI-Compatible Gateways)

目标拿到一个自称「OpenAI 兼容」的网关（中转站、校园平台、自建代理），在不看服务端代码的前提下判断：它到底把请求原样转给了上游，还是做了删改。这件事直接决定你能拿它干什么。删改过的网关聊天没问题，但做不了 Agent。为什么不能只看它「能不能回话」能回话 ≠ 透传。套壳网关的常见做法是：接下请求 → 自己挑几个字段转发 → 拿到响应 → 重新拼一个 JSON 返回。中间丢什么、改什么，从外面

Obsidian

细雨初晴

Canvas desynchronized 画布位图读回不可靠导致墨迹整笔丢失 (Canvas desynchronized Read-Back Loses Committed Ink)

触发条件 (Occurrence Conditions)架构：双层 Canvas 手写板。activeCanvas 承载「正在写的那一笔」并对其调用 getContext('2d', { desynchronized: true }) 以压低触控笔延迟；mainCanvas 承载已提交的历史笔迹。提交方式：提笔时用 位图搬运 收尾——mainCtx.drawImage(acti

Obsidian

细雨初晴

GitHub OAuth 端点无 CORS 与纯前端取 Token (GitHub OAuth CORS Gap & Browser-only Token Acquisition)

一句话结论api.github.com 开了跨域（Cross-Origin Resource Sharing, CORS），所以带着 token 从浏览器直接调 GitHub API 是可行的；但 github.com/login/* 的 OAuth 与设备流（Device Flow）端点没有开 CORS，所以在纯前端完成登录、把授权码换成 token 这一步做不到，必须有一个后端或代理。发生条件