安全攻防
morning
多成员 gzip 请求体的解压范围错位
2026-09-14
1 阅读
约1分钟阅读
先知社区
字号:
gzip 请求体可以由多个合法 member 直接拼接而成。入口组件只解开首 member，业务组件继续解开全部 member 时，同一条 HTTP 请求会产生两份参数视图。记录中的网关允许 mode=read，业务端却取得 mode=write；变化不在请求行、头字段或分帧位置，而在首 member trailer 之后的压缩字节。 一条请求在入口已经通过权限判断，到了业务代码却换了参数，这种现
这篇文章对您有帮助吗？
订阅66必读
每日精选科技资讯，直达你的邮箱