بقلم George Curta ·
رُفض عنوان API الخلفي (قائمة سماح SSRF)
يرفض التطبيق حفظ عنوان API خلفي، أو تفشل الطلبات بخطأ "العنوان غير مسموح".
لماذا يحدث هذا
يتحقق كلا التطبيقين من عنوان API الخلفي المُكوَّن مقابل قائمة سماح للمضيفين تُتحقق منها وقت التشغيل (UrlGuard) قبل إجراء أي طلب. توجد حماية SSRF هذه حتى لا يتمكن عنوان ضار أو مُكوَّن خطأً من جعل رمز Bearer الخاص بالتطبيق يصل إلى مضيف يتحكم فيه مهاجم. لا يُسمح إلا بـ anonym.legal وanonymize.business (مضيف DEV) — يُرفض أي مضيف آخر، وهذا مقصود.
كيفية الإصلاح
- 1.استخدم بالضبط https://anonym.legal (الإنتاج) أو https://anonymize.business (DEV) كعنوان API الخلفي.
- 2.أزل أي مسار لاحق أو منفذ أو خطأ إملائي من العنوان — تطابق قائمة السماح اسم المضيف بالضبط.
- 3.إذا كنت تعتقد أن مضيفاً شرعياً يُرفض، تواصل مع الدعم — قائمة السماح غير قابلة للتعديل من قبل المستخدم عمداً.
إشعار "يتوفر إصدار جديد"
تعرض إعدادات المسؤول في التطبيق إشعاراً بوجود إصدار أحدث.
لماذا يحدث هذا
يتحقق كلا التطبيقين دورياً من وجود إصدار أحدث ويعرضان إشعاراً بسيطاً للمسؤول مع رابط لسجل التغييرات عند توفر إصدار جديد. هذا إشعار ترقية يدوية، وليس تحديثاً تلقائياً — لا شيء يُثبِّت نفسه على نسخة Nextcloud لديك.
كيفية الإصلاح
- 1.اتبع رابط سجل التغييرات في الإشعار لمراجعة ما تغيّر.
- 2.نزّل أرشيف (أرشيفات) التطبيق الجديد من صفحة GitHub releases.
- 3.استخرجه إلى apps/ وشغّل occ upgrade — بنفس خطوات التثبيت اليدوي الأولى — حسب جدولك الزمني الخاص.
خطأ 403: "خطة Basic أو أعلى"
تفشل استدعاءات API من التطبيق بحالة 403 ورسالة حول ضرورة وجود خطة Basic أو أعلى.
لماذا يحدث هذا
يتطلب تطبيقا Nextcloud كلاهما حساب anonym.legal على خطة Basic أو أعلى. لا تتضمن الخطة المجانية الوصول إلى API الذي تعتمد عليه هذه التطبيقات، لذا تُعيد الخلفية 403 مع الرسالة "يتطلب تكامل Nextcloud خطة Basic أو أعلى. يُرجى ترقية خطتك." بدلاً من فشل صامت.
كيفية الإصلاح
- 1.تأكد من حساب anonym.legal الذي ينتمي إليه الرمز المُكوَّن.
- 2.رقِّ ذلك الحساب إلى خطة Basic أو أعلى.
- 3.أعد محاولة الطلب — لا حاجة لإعادة التثبيت أو إعادة التكوين بمجرد ترقية الحساب.
رمز التكامل لا يمكنه قراءة مفاتيح التشفير — هل هذا خلل؟
يُرفض أي طلب يحاول جلب مواد مفاتيح مفكوكة التشفير باستخدام الرمز المُكوَّن.
لماذا يحدث هذا
لا — هذا مقصود. الرمز الذي تستخدمه هذه التطبيقات هو رمز محدود النطاق للتكامل، مصمم عمداً ليكون أكثر تقييداً من رمز API الكامل للحساب: يمكنه تحليل المحتوى وإخفاء هويته، لكن كل نقطة نهاية قد تُعيد مواد مفاتيح مفكوكة التشفير تُعيد 403 لرمز التكامل محدود النطاق، بحيث لا يمكن أبداً استخدام خادم Nextcloud المخترق لفك تشفير سجل التشفير القابل للعكس الخاص بك.
ماذا تفعل
- 1.هذا سلوك متوقع، وليس خطأً يجب إصلاحه — لا تحتاج التطبيقات أبداً إلى مواد مفاتيح مفكوكة التشفير في سير عمل التحليل/إخفاء الهوية/إلغاء إخفاء الهوية الخاص بها.
- 2.إذا كان سير عمل ما يحتاج فعلياً إلى وصول كامل للحساب، استخدم رمز API كامل النطاق خارج هذه التطبيقات، في سياق تتحكم فيه.