用户 API 密钥：负载和现有查询字符串导致出现双问号

blattersturm · 2019 年7 月 22 日 10:55

如果我在调用 user-api-key/new 时，auth_redirect 已经包含查询字符串（例如 http://localhost:30120/auth-discourse?state=BASE64），最终生成的重定向 URI 会变成类似 http://localhost:30120/auth-discourse?state=BASE64?payload=PAYLOAD 的形式——出现了两个查询字符串，且没有使用 & 进行连接。

github.com/discourse/discourse

app/controllers/user_api_keys_controller.rb

888e68a16


      
          
          public_key = OpenSSL::PKey::RSA.new(params[:public_key])
          @payload = Base64.encode64(public_key.public_encrypt(@payload))
          
          if scopes.include?("one_time_password")
            # encrypt one_time_password separately to bypass 128 chars encryption limit
            otp_payload = one_time_password(public_key, current_user.username)
          end
          
          if params[:auth_redirect]
            redirect_path = +"#{params[:auth_redirect]}?payload=#{CGI.escape(@payload)}"
            redirect_path << "&oneTimePassword=#{CGI.escape(otp_payload)}" if scopes.include?("one_time_password")
            redirect_to(redirect_path)
          else
            respond_to do |format|
              format.html { render :show }
              format.json do
                instructions = I18n.t("user_api_key.instructions", application_name: @application_name)
                render json: { payload: @payload, instructions: instructions }
              end
            end

这段代码可能需要修改，以检查 URI 中是否已存在查询字符串，或者考虑使用某种 URI 构建工具？

eviltrout · 2019 年7 月 22 日 13:41

这似乎表明代码的假设是它本身不包含任何查询参数。我们欢迎提交 PR 来修复这个问题。

saurabhp · 2019 年7 月 23 日 15:50

我已为此问题在此处提交了 PR：

saurabhp · 2019 年7 月 24 日 02:37

PR 已合并。此话题可以关闭了

话题		回复	浏览量
Feasibility of allowing a User Api Key client to register a valid auth_redirect Development	7	376	2024 年11 月 11 日
Redirect after login loses query params Development	9	2133	2019 年7 月 8 日
Support wildcard in "allowed user api auth redirects" setting Feature	0	646	2018 年12 月 15 日
Per User API Keys Not Working Support	2	1208	2021 年9 月 2 日
Generating User Api Keys with REST API Development rest-api	20	8714	2018 年4 月 8 日

用户 API 密钥：负载和现有查询字符串导致出现双问号

相关话题