TDLM/HMCL
3
0 Fork 0
Code Issues Pull Requests 1 Actions Packages Projects Releases 6 Wiki Activity

PERF: HttpRequest/IOUtils 读 HTTP 响应无体积上限 #10

New Issue
Closed
opened 2026-11-09 14:23:57 +00:00 by layue13 · 1 comment
layue13 commented 2026-11-09 14:23:57 +00:00
Owner
Copy link
Copy source

调研编号：扫描 2026-11-09 / N1

现象

IOUtils.readFully 对输入流调用 readAllBytes()，HttpRequest.getString 与 authlib 元数据拉取走同一路径，未见 Content-Length 上限或流式截断。恶意/故障服务器对 JSON/元数据返回超大体时，可造成堆膨胀乃至 OOM。

危害类与优先级

  • 危害类：PERF
  • 优先级：p2

证据（生效源码）

  • 载体：TDLM/HMCL ＋ 分支 origin/main ＋ pin/commit bdacd654734c3665995a8c779da34139b9bdf373
  • 位置：HMCLCore/.../IOUtils.java:70-72；HttpRequest.java:131-140；AuthlibInjectorServer.java:60
  • 关键原文：
// IOUtils.java:70-72
public static byte[] readFully(InputStream stream) throws IOException {
    try (stream) {
        return stream.readAllBytes();
    }
}

// HttpRequest.java:131-140
public String getString() throws IOException {
    return getStringWithRetry(() -> {
        HttpURLConnection con = createConnection();
        con = resolveConnection(con);
        checkResponseCode(con);

        return IOUtils.readFullyAsString("gzip".equals(con.getContentEncoding())
                ? IOUtils.wrapFromGZip(con.getInputStream())
                : con.getInputStream());
    }, retryTimes);
}

// AuthlibInjectorServer.java:60
server.refreshMetadata(NetworkUtils.readFullyAsString(conn));
  • 上游状态：未修

触发与复现

  • 触发条件：连接返回超大 body 的 HTTP 端点（如 authlib 元数据 / API JSON）；默认网络路径可达。
  • 复现程度：静态推演
  • 包内相关性：模块 n/a／sides client／默认配置可达 是

落点

  • 主仓：TDLM/HMCL → HMCLCore/.../IOUtils.java:70（及调用方 HttpRequest / AuthlibInjectorServer）

范式

引证

  1. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/util/io/IOUtils.java#L70-L72
  2. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/util/io/HttpRequest.java#L131-L140
  3. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/auth/authlibinjector/AuthlibInjectorServer.java#L60-L60
  4. 范式 N1 — https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/perf/N1-network-driven-alloc.md

来源

  • 线索类型：内部代码审查（无外部报障）
  • 可解析指针：IOUtils.java:70-72；commit bdacd654734c3665995a8c779da34139b9bdf373
  • 来源标签：origin/scan
**调研编号**：扫描 2026-11-09 / N1 ## 现象 `IOUtils.readFully` 对输入流调用 `readAllBytes()`，`HttpRequest.getString` 与 authlib 元数据拉取走同一路径，未见 Content-Length 上限或流式截断。恶意/故障服务器对 JSON/元数据返回超大体时，可造成堆膨胀乃至 OOM。 ## 危害类与优先级 - 危害类：`PERF` - 优先级：`p2` ## 证据（生效源码） - 载体：`TDLM/HMCL` ＋ 分支 `origin/main` ＋ pin/commit `bdacd654734c3665995a8c779da34139b9bdf373` - 位置：`HMCLCore/.../IOUtils.java:70-72`；`HttpRequest.java:131-140`；`AuthlibInjectorServer.java:60` - 关键原文： ```java // IOUtils.java:70-72 public static byte[] readFully(InputStream stream) throws IOException { try (stream) { return stream.readAllBytes(); } } ``` ```java // HttpRequest.java:131-140 public String getString() throws IOException { return getStringWithRetry(() -> { HttpURLConnection con = createConnection(); con = resolveConnection(con); checkResponseCode(con); return IOUtils.readFullyAsString("gzip".equals(con.getContentEncoding()) ? IOUtils.wrapFromGZip(con.getInputStream()) : con.getInputStream()); }, retryTimes); } ``` ```java // AuthlibInjectorServer.java:60 server.refreshMetadata(NetworkUtils.readFullyAsString(conn)); ``` - 上游状态：未修 ## 触发与复现 - 触发条件：连接返回超大 body 的 HTTP 端点（如 authlib 元数据 / API JSON）；默认网络路径可达。 - 复现程度：静态推演 - 包内相关性：模块 n/a／sides `client`／默认配置可达 是 ## 落点 - 主仓：`TDLM/HMCL` → `HMCLCore/.../IOUtils.java:70`（及调用方 `HttpRequest` / `AuthlibInjectorServer`） ## 范式 - 命中范式：N1 网络驱动分配（https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/perf/N1-network-driven-alloc.md） ## 引证 1. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/util/io/IOUtils.java#L70-L72 2. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/util/io/HttpRequest.java#L131-L140 3. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/auth/authlibinjector/AuthlibInjectorServer.java#L60-L60 4. 范式 N1 — https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/perf/N1-network-driven-alloc.md ## 来源 - 线索类型：内部代码审查（无外部报障） - 可解析指针：`IOUtils.java:70-72`；commit `bdacd654734c3665995a8c779da34139b9bdf373` - 来源标签：`origin/scan`
layue13 added the area/network
priority
p2
type
perf
origin/scan labels 2026-11-09 14:23:57 +00:00
layue13 commented 2026-11-09 21:53:18 +00:00
Author
Owner
Copy link
Copy source

Fixed on main via PR #14 — HTTP body reads capped (IOUtils.DEFAULT_MAX_HTTP_BODY_BYTES, 16 MiB) in HttpRequest/NetworkUtils paths.

Merge: #14
Commit: c4240a24bf

Fixed on `main` via PR #14 — HTTP body reads capped (`IOUtils.DEFAULT_MAX_HTTP_BODY_BYTES`, 16 MiB) in HttpRequest/NetworkUtils paths. Merge: https://git.nest.potatolab.uk:8443/TDLM/HMCL/pulls/14 Commit: c4240a24bf7635a26d6e45721c77b33d94bcb252
Sign in to join this conversation.
No Branch/Tag Specified
Labels
Clear labels
area/build
构建系统、编译与 CI。
 area/client
仅客户端（渲染除外）
 area/compatibility
跨模组、跨版本或外部接口兼容行为。
 area/config
默认配置、配方、日志噪音
 area/integration
跨仓库 API、工具链或功能联动问题。
 area/lifecycle
实体、区块、世界对象的加载、卸载、持久化与资源所有权。
 area/lighting
光照更新、传播队列及其与区块卸载、渲染路径的行为。
 area/network
网络包与同步
 area/performance
运行时 CPU、内存、分配、网络或存盘开销问题。
 area/persistence
NBT、存档、实体/区块加载卸载与生命周期
 area/release
版本、Maven 坐标、制品发布与发布链路。
 area/render
渲染、光照、着色器
 area/security
权限边界、服务端校验、反序列化或其他安全风险。
 area/server
仅服务端 tick/逻辑
 area/test
测试实现、覆盖与验证设施
 origin/scan
组织内部审计扫描产出
 origin/upstream-sync
日扫上游 GTNH 发现的待吸收改动
priority
p0
最高处理优先级：广泛崩溃、数据或权限风险，或关键发布通道被阻断且无绕行方案。
priority
p1
高处理优先级：核心功能明显受损或影响范围较大，近期安排处理。
priority
p2
常规处理优先级：影响范围有限且有可行绕行，纳入计划处理。
priority
p3
低处理优先级：影响轻微或仅涉及边界场景，有空再处理。
resolution
duplicate
与另一 issue 重复
resolution
fixed
已有合并的 PR/commit 修复
resolution
invalid
复核后不成立/无法复现/无需处理
resolution
recorded
记录类 issue，记录完成即关闭
resolution
wontfix
评估后决定不修
type
audit
扫描、覆盖普查、设计评估等记录类，本身不是待修缺陷
type
chore
构建、CI、发布、依赖、版本、上游同步、清理
type
defect
功能错误、崩溃、数据错乱（不含性能与安全专项）
type
feature
新功能或联动，当前行为不算故障
type
perf
CPU/内存/分配/网络/存盘开销问题
type
question
待答复/待决策，尚未形成实现任务
type
security
权限越界、复制/刷物品、绕过领地、服务端校验缺失、反序列化
No labels area/network origin/scan
priority
p2
type
perf
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
chowkim layue13 liuhao
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: TDLM/HMCL#10