关注列表粉丝列表403

[Eternity-Sky]

[0f-0b]

这两个接口需要 __client_id cookie。似乎只要格式对就行，内容可以伪造。也欢迎 PR。

[Eternity-Sky]

刷新一遍又出来了

…

________________________________ 发件人: ud2 ***@***.***> 发送时间: Monday, August 25, 2025 10:54:27 PM 收件人: 0f-0b/luogu-api-docs ***@***.***> 抄送: Eternity-Sky ***@***.***>; Author ***@***.***> 主题: Re: [0f-0b/luogu-api-docs] 关注列表粉丝列表403 (Issue #43) [https://avatars.githubusercontent.com/u/11265785?s=20&v=4]0f-0b left a comment (0f-0b/luogu-api-docs#43)<#43 (comment)> 这两个接口需要 __client_id cookie。似乎只要格式对就行，内容可以伪造。也欢迎 PR。 ― Reply to this email directly, view it on GitHub<#43 (comment)>, or unsubscribe<https://github.com/notifications/unsubscribe-auth/BKB3TY36N4UH34XBN2RK5RD3PMPSHAVCNFSM6AAAAACEW7ESKGVHI2DSMVQWIX3LMV43OSLTON2WKQ3PNVWWK3TUHMZTEMRQGYZDAMJQGY>. You are receiving this because you authored the thread.Message ID: ***@***.***>

[Eternity-Sky]

请问你整理的api，提交说没有登录是怎么回事，是cookie的问题？

…

________________________________ 发件人: ud2 ***@***.***> 发送时间: Monday, August 25, 2025 10:54:27 PM 收件人: 0f-0b/luogu-api-docs ***@***.***> 抄送: Eternity-Sky ***@***.***>; Author ***@***.***> 主题: Re: [0f-0b/luogu-api-docs] 关注列表粉丝列表403 (Issue #43) [https://avatars.githubusercontent.com/u/11265785?s=20&v=4]0f-0b left a comment (0f-0b/luogu-api-docs#43)<#43 (comment)> 这两个接口需要 __client_id cookie。似乎只要格式对就行，内容可以伪造。也欢迎 PR。 ― Reply to this email directly, view it on GitHub<#43 (comment)>, or unsubscribe<https://github.com/notifications/unsubscribe-auth/BKB3TY36N4UH34XBN2RK5RD3PMPSHAVCNFSM6AAAAACEW7ESKGVHI2DSMVQWIX3LMV43OSLTON2WKQ3PNVWWK3TUHMZTEMRQGYZDAMJQGY>. You are receiving this because you authored the thread.Message ID: ***@***.***>

[0f-0b]

刷新一遍又出来了

如果请求里没有 __client_id cookie，那么服务器会通过 set-cookie 响应头下发一个合法的 __client_id，所以第二次请求就正常了。

提交说没有登录是怎么回事，是 cookie 的问题？

一般来说是的。

[0f-0b]

另外我在你的仓库里发现了严重的安全漏洞，比如这一行代码把用户的签名直接拼接到 HTML 里；如果攻击者在签名里加了 HTML 标签并关注了你，那么你查询粉丝列表时就会执行其中的代码，从而让攻击者以你的名义调用洛谷任意接口。采用 AI 生成的代码之前还请好好审核。

[Eternity-Sky]

谢

…

________________________________ 发件人: ud2 ***@***.***> 发送时间: Tuesday, August 26, 2025 9:54:06 AM 收件人: 0f-0b/luogu-api-docs ***@***.***> 抄送: Eternity-Sky ***@***.***>; Author ***@***.***> 主题: Re: [0f-0b/luogu-api-docs] 关注列表粉丝列表403 (Issue #43) [https://avatars.githubusercontent.com/u/11265785?s=20&v=4]0f-0b left a comment (0f-0b/luogu-api-docs#43)<#43 (comment)> 另外我在你的仓库里发现了严重的安全漏洞，比如这一行代码<https://github.com/Eternity-Sky/luogu-problem-reader/blob/d541e384e6b3646af9e003b255fb74f4a26ab16d/profile.html#L1655>把用户的签名直接拼接到 HTML 里；如果攻击者在签名里加了 HTML 标签并关注了你，那么你查询粉丝列表时就会执行其中的代码，从而让攻击者以你的名义调用洛谷任意接口。采用 AI 生成的代码之前还请好好审核。 ― Reply to this email directly, view it on GitHub<#43 (comment)>, or unsubscribe<https://github.com/notifications/unsubscribe-auth/BKB3TY7ZWQQC2UIXIFPQJ6D3PO435AVCNFSM6AAAAACEW7ESKGVHI2DSMVQWIX3LMV43OSLTON2WKQ3PNVWWK3TUHMZTEMRSGI3TSNJZGA>. You are receiving this because you authored the thread.Message ID: ***@***.***>

[Eternity-Sky]

依然403未登陆啊

[0f-0b]

服务器返回 set-cookie: _uid=0 可能是 __client_id 不合法导致的。确定 cookie 请求头的值包含正确的 __client_id 和 _uid 吗？