search

wildfirechat / im-server

即时通讯(IM)系统
http://docs.wildfirechat.cn
Other
7.78k stars 1.77k forks source link

建议在转发创建群判断传入的uid是否是好友 #682

Closed zenggong965 closed 6 months ago

zenggong965 commented 6 months ago

步骤

转发消息 image 创建群 image 选人 image 此时如果前端造uid数据，可以拉大群发消息，存在安全隐患

预期结果

因为拉人进群是要加好友的，所以这里应该增加对于创建群拉入的uid是否是好友的后端判断，避免前端造数据攻击

heavyrain2012 commented 6 months ago

我们加了个配置文件，是否允许陌生人拉人入群，可以关掉，这样就只能建群或者加入只加好友，请邮件联系我们更新IM服务