Connect
2 篇文章
- 电商篇：安全——基于请求方法的访问控制绕过从「把 POST 改成 GET 就能提权」这个常见漏洞出发，解释授权层按 (路径, 方法) 匹配而执行层不看方法的病因，再拿电商项目的真实代码逐层核查：Connect 的 405、网关 Casbin 的默认拒绝、策略文件的通配陷阱、CSRF 豁免与 NO_SIDE_EFFECTS 的耦合。核查挖出一处真实缺口（审批 RPC 完全依赖网关），随后落地三道门禁：handler 内按动作授权、策略 act 列只认字面 POST、proto 标记进白名单，含回归测试与金丝雀验证。
- 电商篇：安装依赖安装电商项目所需的两个 Golang 代码生成插件：把 .proto 生成 Go 消息类型的 protoc-gen-go，以及生成 Connect RPC 服务端与客户端代码的 protoc-gen-connect-go；说明二进制落在哪里、需要什么前置条件。