发表新帖

发表新帖

clientSecret

Blade 未结

关注举报

 1  57

498982160 剑圣 7小时前

一、该问题的重现步骤是什么？

1.

clientId: 'saber', // 客户端id

clientSecret: 'saber_secret', // 客户端密钥这个怎么能够去掉，扫描说这个存在硬编码认证风险

2. 确实在每个接口消息头都存在这个参数认证

二、你期待的结果是什么？实际看到的又是什么？

怎么在所有的接口请求去掉 authorization参数或者这个参数怎么改为动态获取

三、你正在使用的是什么产品，什么版本？在什么操作系统上？

四、请提供详细的错误堆栈信息，这很重要。

五、若有更多详细信息，请在下面提供。

1条回答

admin - BladeX作者

1小时前

这个没有风险，也攻破不了系统，如果他们坚持有风险，就按照正规流程来，要请他们给个详细的渗透步骤出来。

这个是标准的客户端认证，如果没有他，就无法认定是从哪个客户端过来的请求，也就无法发放token，你把它取消了，第一步令牌就获取不到。

0 讨论(0)
评论:

提交评论
- 加载中...

官方产品

BladeX 企业级开发平台 BladeX 可视化数据大屏

官方新品

BladeX 大模型开发平台 BladeX 物联网开发平台

热议问题: 工作流插件与框架自带工作流比较 1; 可视化数据大屏-数字孪生的使用 1; clientSecret 1; 新增部门之后，再进行新增用户时，无法分配到新增部门数据 1; 针对fastjson2全版本远程代码执行漏洞的修复版本, 2; 数据权限，接口权限 1; 设置上下文 1; bladex的微服务版本是否适配Tidb数据库 1; 为什么配置后无法完成消息转发 1; 上传附件问题 2

扫一扫访问 Blade技术社区移动端