Skip to content
New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

Sign up for GitHub

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

Jump to bottom

Mk:apiExternalの対象を連合中のインスタンスだけにする #12040

Closed
FineArchs opened this issue Oct 15, 2023 · 11 comments
Closed

Mk:apiExternalの対象を連合中のインスタンスだけにする #12040

FineArchs opened this issue Oct 15, 2023 · 11 comments
Labels
✨Feature This adds/improves/enhances a feature

Comments

@FineArchs
Copy link
Contributor

Summary

悪意のあるPlay・プラグイン作者によりトークン等が外部に送信されるリスクを低減させるため、Mk:apiExternalでリクエストを送ることのできる相手をfederation/instances {blocked: false}で取得可能なサーバーに限定することを提案します。
@FineArchs FineArchs added the ✨Feature This adds/improves/enhances a feature label Oct 15, 2023
@kakkokari-gtyih

This comment was marked as resolved.

Sign in to view
@FineArchs
Copy link
Contributor Author

@kakkokari-gtyih 連合先のプログラムが自動で実行できるわけではないので、連合先のユーザーが悪意あるプログラムを組む心配はないような？

@kakkokari-gtyih
Copy link
Contributor

それはそうか

@FineArchs FineArchs mentioned this issue Oct 16, 2023
Closed
5 tasks
@syuilo
Copy link
Member

syuilo commented Oct 16, 2023

mk:apiExternalってトークンとか送信できるようになってたっけ

@FineArchs
Copy link
Contributor Author

@syuilo

  • 第四引数に指定すれば送信可能です
  • 適当なパラメータにトークンを含めれば送信可能です

@syuilo
Copy link
Member

syuilo commented Oct 16, 2023

それってユーザーが自分で設定する必要があるはずだから意図せず送信されることはなくないかしら？

@FineArchs
Copy link
Contributor Author

Xのサーバーに送ると称して影でYのサーバーにも送るようなケースを想定しています

@syuilo
Copy link
Member

syuilo commented Oct 16, 2023

ほむん

@fu-sen
Copy link

fu-sen commented Dec 9, 2023

たまたま見たのでコメント入れます。Mk:apiExternal を経由して匿名のノートができる Play が作成された事例があり、その経緯が note に投稿されました、これに影響してこの issues が建った、という経緯のようです。
https://note.com/yuki_20020924/n/n2515ac1e7339

@syuilo
Copy link
Member

syuilo commented Dec 9, 2023

Mk:apiExternal 自体が使えなくなった

@syuilo syuilo closed this as not planned Won't fix, can't repro, duplicate, stale Dec 9, 2023
@KisaragiEffective
Copy link
Collaborator

Mk:apiExternal 自体が使えなくなった

メモ: fcf0f5f

@KisaragiEffective KisaragiEffective mentioned this issue Mar 11, 2025
Open
1 task
Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment
Assignees
No one assigned
Labels
✨Feature This adds/improves/enhances a feature
Projects
None yet
Milestone
No milestone
Development

No branches or pull requests
5 participants
@syuilo @fu-sen @KisaragiEffective @kakkokari-gtyih @FineArchs