https://silo.pgsty.com/zh/tags/audit/ Recent content in Audit on SILO Hugo zh-CN Sat, 24 Oct 2026 18:19:49 +0800 https://silo.pgsty.com/zh/blog/security/source-address-trust/ Tue, 04 Aug 2026 00:00:00 +0000 https://silo.pgsty.com/zh/blog/security/source-address-trust/ <p><strong><code>SN-2026-018</code></strong> 修复了 <a href="https://github.com/pgsty/silo-pkg/releases/tag/v3.12.0">silo-pkg <code>v3.12.0</code></a>（提交 <code>62f326d</code>）与 <a href="https://github.com/pgsty/silo/releases/tag/RELEASE.2026-08-04T00-00-00Z">Server 20260804</a>（<code>00a8171cb</code>，<a href="https://github.com/pgsty/silo/issues/41"><code>pgsty/silo#41</code></a>）中影响 <code>aws:SourceIp</code> IAM 条件求值、审计日志、桶事件通知及管理端 HTTP 追踪的客户端源 IP 欺骗问题：<code>handlers.GetSourceIP</code> 此前默认无条件信任任意 TCP 对端发来的 <code>X-Forwarded-For</code>、<code>X-Real-IP</code> 与 RFC 7239 <code>Forwarded</code> 请求头；即便管理员显式设置了 <code>_MINIO_API_XFF_HEADER=off</code>，该函数也只是跳过了 <code>X-Forwarded-For</code>，随后立刻落入并无条件采信客户端伪造的 <code>X-Real-IP</code> 与 <code>Forwarded</code>。</p>