Eclair 0.14.4は、Originヘッダーを含む任意のAPI呼び出しに対して403を返します。Originの内容は確認せず、存在するかどうかのみをチェックします。 EclairのAPIは基本認証を使用し、フォームエンコードされたパラメーターを受け取ります。したがって、ブラウザがパスワードをキャッシュした後、運営者が開く任意のページの単純なHTMLフォームから、これにPOSTできます。これはCORSの承認を必要としません。ページは応答を読み取ることはできませんが、オンチェーンでの送金やチャネルの閉鎖はすでに完了しています。ブラウザはこれらのリクエストにOriginを設定しますが、curlは設定しません。また、存在チェックは、サンドボックス化されたiframeが送信するOrigin: nullもキャッチします。 この修正は0.14.3がタグ付けされた翌日の9月15日にマージされ、10月15日にリリースされました。 同じチームが開発するphoenixdも、基本認証の背後でフォームエンコードされたパラメーターを受け取りますが、0.9.3ではOriginチェックがどこにも見当たりません。phoenixdにはこのようなチェックが必要ない理由があるのでしょうか、それともまだ問題が提起されていないのでしょうか？