[Feat] Verwijderen van ReactID uit XML en RSS links

[Spider.007]

Het ReactID van een sessie is iets wat door andere users misbruikt kan worden om een sessie te hijacken. Op screenshots worden ReactID's altijd weggehaald, en bij het opslaan van een pagina moet je altijd even de links van de RSS en XML feed aanpassen omdat daar als GET argument het ReactID wordt meegegeven.

Nu heb ik even gekeken, maar de browser verstuurd ook netjes het cookie met daarin het ReactID naar de server toe. Sterker nog; als ik de get parameter uit de URL haal, dan werkt het nog steeds perfect.

Hieruit volgt dus mijn vraag; waarom wordt het ReactID meegegeven in de XML en RSS feedlinks? Is dit puur en alleen zodat externe parsers de correcte permissies van de gebruiker over kunnen nemen? Ik denk zelf dat deze links door een minderheid van de gebruikers wordt gebruikt; en ik zou dan ook willen voorstellen om het ReactID niet standaard op te nemen in deze links. Desnoods wordt er een pref bijgemaakt waarbij een user dit kan aangeven; of wordt er ergens in de FAQ neergezet hoe je handmatig een ReactID kunt meegeven.

Ben ik de enige die het irritant vindt dat mijn ReactID uit iedere pagina is te halen, of is dit een non-issue?

[moto-moi]

Omdat je anders geen rss feed kunt krijgen van de HK, SG, NTSM, A61, CA, etc ?

[chem]

Spider.007 schreef op 14 april 2004 @ 18:50:

Hieruit volgt dus mijn vraag; waarom wordt het ReactID meegegeven in de XML en RSS feedlinks? Is dit puur en alleen zodat externe parsers de correcte permissies van de gebruiker over kunnen nemen?

Ja

Ik denk zelf dat deze links door een minderheid van de gebruikers wordt gebruikt; en ik zou dan ook willen voorstellen om het ReactID niet standaard op te nemen in deze links.

niet alle RSS readers gebruiker de IE-engine om de data binnen te halen (gelukkig maar).

Desnoods wordt er een pref bijgemaakt waarbij een user dit kan aangeven; of wordt er ergens in de FAQ neergezet hoe je handmatig een ReactID kunt meegeven.

Ik zie geen reden om een pref hiervoor te maken.

Ben ik de enige die het irritant vindt dat mijn ReactID uit iedere pagina is te halen, of is dit een non-issue?

het verwijderen betekent ook het enorm omslachtig uitleggen hoe een gebruiker z'n sessionid moet meesturen.
Tweakers is niet de enige React gebruiker.

[Spider.007]

Ok, duidelijk. Het valt goed te beargumenteren waarom het ReactID er wel bij hoort te staan

[Erkens]

Spider.007 schreef op 14 april 2004 @ 18:50:
Het ReactID van een sessie is iets wat door andere users misbruikt kan worden om een sessie te hijacken. Op screenshots worden ReactID's altijd weggehaald, en bij het opslaan van een pagina moet je altijd even de links van de RSS en XML feed aanpassen omdat daar als GET argument het ReactID wordt meegegeven.

offtopic:
Wellicht dat hieraan wat meer aandacht besteed moet worden, ik gok dat er veel tweakertjes zijn die geen idee hebben van het 'risico' van het laten staan van het ReactID of het niet binden aan het IP ervan

[crisp]

zelf beetje oppassen dus...