17 lines
1.5 KiB
Text
17 lines
1.5 KiB
Text
P8-REVIEW, ось 2: открытый поток событий переживает отзыв сессии. Пере-проверка координатором пака (третий рубеж), 24.08.2026, стенд 127.0.0.1:8099.
|
||
|
||
t+0 GET /v0/books/<id>/events открыт живой сессией -> event: hello
|
||
t+3 tmplatformctl revoke --user u_UGNL6OKRMC26XJTB -> 'revoked 4 sessions'
|
||
select ... from sessions -> 4/4 revoked_of_total
|
||
t+3 НОВЫЙ запрос той же кукой (GET /v0/books) -> 401
|
||
t+12 ТОТ ЖЕ поток отдаёт НАСТОЯЩИЙ кадр данных:
|
||
event: status
|
||
data: {"status": "not_started", "revision": 17, ...}
|
||
|
||
Вывод: отзыв мгновенен для НОВЫХ запросов и не действует на уже открытый поток.
|
||
Аутентификация происходит ровно один раз в guard (internal/httpapi/server.go), а цикл pump
|
||
(internal/httpapi/stream.go) до конца соединения читает только ReadFrames/ReadStream и
|
||
строку сессии не смотрит. ASVS 5.0 7.4.1 — требование УРОВНЯ 1 при объявленном зоной L2.
|
||
|
||
⚠ Побочно: /auth/logout-all на ДЕВ-профиле не смонтирован (404) — проверено тем же прогоном;
|
||
поэтому отзыв здесь сделан tmplatformctl revoke, второй ручкой из той же пары STACK §13.
|