セキュリティ このリリースでは、いくつかのセキュリティの問題が修正されています。アップグレードが推奨されます。いくつかの修正は動作を変更します。下記の"アップグレードする前に確認すべき動作変更"を参照してください。要求スキーム: Context.Scheme() は、X-Forwarded-Proto,X-Forwarded-Protocol,X-Forwarded-Ssl,およびX-Url-Schemeのヘッダを、リクエストが直接ループバック、リンクローカル、プライベートネットワークアドレス、またはユニックスソケットから来る場合にのみ使用します。..
セキュリティ このリリースでは、いくつかのセキュリティの問題が修正されています。アップグレードが推奨されます。いくつかの修正は動作を変更します。下記の"アップグレードする前に確認すべき動作変更"を参照してください。要求スキーム: Context.Scheme() は、X-Forwarded-Proto,X-Forwarded-Protocol,X-Forwarded-Ssl,およびX-Url-Schemeのヘッダを、リクエストが直接ループバック、リンクローカル、プライベートネットワークアドレス、またはユニックスソケットから来る場合にのみ使用します。..
修正 #3043 の @JSap0914 で対応したハンドラー 404 を保存する #3043 の修正 #3049 の修正 #3049 でデフォルトルートで @aldas で覆われる 暗黙登録されたグループルートを許可すべきです 強化 ドック: #2968 の @KeloYuan によって HTTP バッジ URL を HTTPS に更新 ドック: #3046 の @hyorimitsu によって真の任意の方法のマッチングを反映する任意の godoc を修正する @zxysilent によって範囲を超えた整数ループを使用します。..
グループミドルウェアロジック変更 PR #2996 は、暗黙の 404 ハンドラーを登録するグループで v4 行動に戻る。この動作を望まない場合は、グループに暗黙の 404 ハンドラーを望まない場合は、 e: = echo.NewWithConfig(echo.Config{NoGroupAutoRegister404Routes: true}) g: = e.Group("/api") その他の注目すべき改善: #3038 e の QUERY HTTP メソッド RFC 10008 のファーストクラスのサポートを追加します。..
セキュリティ修正 GHSA-vfp3-v2gw-7wfq: 静的ファイル URL の暗号化されたパス分離器 (%2Fまたは%5C) はルートレベルのミドルウェア (例えばステティックファイルを公開します。StaticDirectoryHandler (Static/StaticFSで使用) と Staticミドルウェアの両方が影響を受ける。v5 のバックポート (#3016, v5.2.1 でリリースされた).@a-tt-om と @oran-gugu に 報告 ありがとうございました。やってみろ
セキュリティは、静的ファイルでリリースされたメソッドとミドルウェアをデフォルトで逃れ路線を解除しないようにします。 そのため、ルーターが経路と静的メソッド/ミドルウェアを解釈する方法が一貫しています。次の状況で: // 0.// ファイル構造が与えられた: // private.txt // public/ // public/index.html // public/text.txt // public/admin/private.txt // 1.サーバーのルーツからファイル共有します。これは。..
セキュリティ修正 (静的): #3011 の @vishr によってルートレベルのミドルウェアをバイパスする暗号化されたパスセパレータを拒絶する GHSA-vfp3-v2gw-7wfq の修正: 静的ファイル URL の暗号化されたパスセパレータ (%2F または %5C) はルートレベルのミドルウェア (例えばステティックファイルを公開します。StaticDirectoryHandler (Static/StaticFSで使用) と Staticミドルウェアの両方が影響を受ける。バックポート。..
セキュリティ修正 (静的): #3009 の @vishr でルートレベルのミドルウェアを回避する暗号化されたパスセパレータを拒絶する (静的): #3006 の @vishr でルートレベルのミドルウェア (#2599) を2回脱出要求しない。 GHSA-vfp3-v2gw-7wfq を修正する: 静的なファイル URL の暗号化されたパスセパレータ (%2F または %5C) はルートレベルのミドルウェア (例えばステティックファイルを公開します。ステティックディレク。..
セキュリティ Context.Scheme ((() は、この問題を報告した @shblue21 に感謝します。 - Context.Scheme はホストリダイレクトによって使用される誤った転送されたスキーマ値を受け入れます。改善 #2930 の @aldas によって golangci linter 構成を追加する #2936 の @EricGusmao によって StartConfig リスナー作成をコンテキスト認識する 修正 (lint): staticcheck の問題を解決し、改善。..
セキュリティコンテキスト。スキーム (Scheme)) は、この問題を報告した @shblue21 に感謝します。全変更ログ: v4.15.1...v4.15.2
セキュリティ この変更は API 契約を破らないが、論理/行動に壊滅的な変更を導入する。c.RealIP() を使っている場合は注意して https://echo.labstack.com/docs/ip-address を読みましょう。 e.IPExtractor が設定されていない限り、c.RealIP() は request.RemoteAddr を返します。潜在的に偽造可能なヘッダはもはやデフォルトで使用されません。IPExtractorをプロで設定する。..
変更点 CSRF: 古いトークンベースの CSRF 保護ハンドラーをサポートします。 @aldas in #2905 によるトークンをテンプレートにレンダリングします。
What's Changed README の未使用のインポート 'エラー' を削除 @kumapower17 の例 #2889 で Graceful シャットダウンを修正: http.Server.Serve が戻った後、 graceful シャットダウン ルーチンが #2898 の @aldas で終了するまで待つ必要があります。
デフォルトのEchoファイルシステムが使用されているとき、StaticミドルウェアでWindowsの下のディレクトリ横断脆弱性を修正。@shblue21 (#2891) が報告しています。これは:WindowsがOSミドルウェアとして使用されている場合に適用されます。StaticConfig.ファイルシステムはゼロ (デフォルト) echoです。ファイルシステムは明示的に設定されていません (デフォルト) 完全な変更日記: v5.0.2...v5.0.3