TDLM/HMCL
3
0 Fork 0
Code Issues Pull Requests 1 Actions Packages Projects Releases 6 Wiki Activity

SEC: authlib-injector 跟随 x-authlib-injector-api-location 跳转（候选） #13

New Issue
Closed
opened 2026-11-09 14:24:07 +00:00 by layue13 · 1 comment
layue13 commented 2026-11-09 14:24:07 +00:00
Owner
Copy link
Copy source

调研编号：扫描 2026-11-09 / G4（存疑）

现象

添加 Authlib 认证服时，若响应带 x-authlib-injector-api-location，启动器会断开原连接并改连该头给出的绝对 URL，无 host 允许列表。用户主动添加第三方认证服是预期风险；是否算缺陷取决于产品威胁模型。

危害类与优先级

  • 危害类：SEC
  • 优先级：p3

证据（生效源码）

  • 载体：TDLM/HMCL ＋ 分支 origin/main ＋ pin/commit bdacd654734c3665995a8c779da34139b9bdf373
  • 位置：AuthlibInjectorServer.java:45-51；随后 :60 readFullyAsString
  • 关键原文：
String ali = conn.getHeaderField("x-authlib-injector-api-location");
if (ali != null) {
    WebURL absoluteAli = WebURL.parse(ali, WebURL.of(conn.getURL()));
    if (!urlEqualsIgnoreSlash(webURL.toString(), absoluteAli.toString())) {
        conn.disconnect();
        url = absoluteAli.toString();
        conn = NetworkUtils.resolveConnection(NetworkUtils.createHttpConnection(absoluteAli));
    }
}
  • 上游状态：未修

触发与复现

  • 触发条件：用户添加返回该响应头的认证服。
  • 复现程度：未验证（仅形状相同——此时本 issue 是候选，别派单）
  • 包内相关性：模块 n/a／sides client／默认配置可达 否

落点

  • 主仓：TDLM/HMCL → AuthlibInjectorServer.java:45

范式

引证

  1. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/auth/authlibinjector/AuthlibInjectorServer.java#L45-L51
  2. 范式 G4 — https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/sec/G4-信任边界.md

来源

  • 线索类型：内部代码审查（无外部报障）
  • 可解析指针：AuthlibInjectorServer.java:45-51；commit bdacd654734c3665995a8c779da34139b9bdf373
  • 来源标签：origin/scan
**调研编号**：扫描 2026-11-09 / G4（存疑） ## 现象 添加 Authlib 认证服时，若响应带 `x-authlib-injector-api-location`，启动器会断开原连接并改连该头给出的绝对 URL，无 host 允许列表。用户主动添加第三方认证服是预期风险；是否算缺陷取决于产品威胁模型。 ## 危害类与优先级 - 危害类：`SEC` - 优先级：`p3` ## 证据（生效源码） - 载体：`TDLM/HMCL` ＋ 分支 `origin/main` ＋ pin/commit `bdacd654734c3665995a8c779da34139b9bdf373` - 位置：`AuthlibInjectorServer.java:45-51`；随后 `:60` `readFullyAsString` - 关键原文： ```java String ali = conn.getHeaderField("x-authlib-injector-api-location"); if (ali != null) { WebURL absoluteAli = WebURL.parse(ali, WebURL.of(conn.getURL())); if (!urlEqualsIgnoreSlash(webURL.toString(), absoluteAli.toString())) { conn.disconnect(); url = absoluteAli.toString(); conn = NetworkUtils.resolveConnection(NetworkUtils.createHttpConnection(absoluteAli)); } } ``` - 上游状态：未修 ## 触发与复现 - 触发条件：用户添加返回该响应头的认证服。 - 复现程度：未验证（仅形状相同——此时本 issue 是候选，别派单） - 包内相关性：模块 n/a／sides `client`／默认配置可达 否 ## 落点 - 主仓：`TDLM/HMCL` → `AuthlibInjectorServer.java:45` ## 范式 - 命中范式：G4 信任边界（https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/sec/G4-信任边界.md）——候选 ## 引证 1. 生效源码 permalink — https://git.potatolab.uk/TDLM/HMCL/src/commit/bdacd654734c3665995a8c779da34139b9bdf373/HMCLCore/src/main/java/org/jackhuang/hmcl/auth/authlibinjector/AuthlibInjectorServer.java#L45-L51 2. 范式 G4 — https://git.potatolab.uk/TDLM/mc-defect-patterns/raw/commit/12d2ebdc7a87175f936c2a67083be567e0e94301/sec/G4-信任边界.md ## 来源 - 线索类型：内部代码审查（无外部报障） - 可解析指针：`AuthlibInjectorServer.java:45-51`；commit `bdacd654734c3665995a8c779da34139b9bdf373` - 来源标签：`origin/scan`
layue13 added the area/network
priority
p3
area/security
type
security
origin/scan labels 2026-11-09 14:24:07 +00:00
layue13 commented 2026-11-09 21:53:25 +00:00
Author
Owner
Copy link
Copy source

Fixed on main via PR #14 — authlib-injector follows x-authlib-injector-api-location only on matching HTTPS hosts.

Merge: #14
Commit: c4240a24bf

Fixed on `main` via PR #14 — authlib-injector follows `x-authlib-injector-api-location` only on matching HTTPS hosts. Merge: https://git.nest.potatolab.uk:8443/TDLM/HMCL/pulls/14 Commit: c4240a24bf7635a26d6e45721c77b33d94bcb252
Sign in to join this conversation.
No Branch/Tag Specified
Labels
Clear labels
area/build
构建系统、编译与 CI。
 area/client
仅客户端（渲染除外）
 area/compatibility
跨模组、跨版本或外部接口兼容行为。
 area/config
默认配置、配方、日志噪音
 area/integration
跨仓库 API、工具链或功能联动问题。
 area/lifecycle
实体、区块、世界对象的加载、卸载、持久化与资源所有权。
 area/lighting
光照更新、传播队列及其与区块卸载、渲染路径的行为。
 area/network
网络包与同步
 area/performance
运行时 CPU、内存、分配、网络或存盘开销问题。
 area/persistence
NBT、存档、实体/区块加载卸载与生命周期
 area/release
版本、Maven 坐标、制品发布与发布链路。
 area/render
渲染、光照、着色器
 area/security
权限边界、服务端校验、反序列化或其他安全风险。
 area/server
仅服务端 tick/逻辑
 area/test
测试实现、覆盖与验证设施
 origin/scan
组织内部审计扫描产出
 origin/upstream-sync
日扫上游 GTNH 发现的待吸收改动
priority
p0
最高处理优先级：广泛崩溃、数据或权限风险，或关键发布通道被阻断且无绕行方案。
priority
p1
高处理优先级：核心功能明显受损或影响范围较大，近期安排处理。
priority
p2
常规处理优先级：影响范围有限且有可行绕行，纳入计划处理。
priority
p3
低处理优先级：影响轻微或仅涉及边界场景，有空再处理。
resolution
duplicate
与另一 issue 重复
resolution
fixed
已有合并的 PR/commit 修复
resolution
invalid
复核后不成立/无法复现/无需处理
resolution
recorded
记录类 issue，记录完成即关闭
resolution
wontfix
评估后决定不修
type
audit
扫描、覆盖普查、设计评估等记录类，本身不是待修缺陷
type
chore
构建、CI、发布、依赖、版本、上游同步、清理
type
defect
功能错误、崩溃、数据错乱（不含性能与安全专项）
type
feature
新功能或联动，当前行为不算故障
type
perf
CPU/内存/分配/网络/存盘开销问题
type
question
待答复/待决策，尚未形成实现任务
type
security
权限越界、复制/刷物品、绕过领地、服务端校验缺失、反序列化
No labels area/network area/security origin/scan
priority
p3
type
security
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
chowkim layue13 liuhao
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: TDLM/HMCL#13