Eclair 0.14.4 對任何帶有 Origin 標頭的 API 請求都會回應 403。它不檢查 origin 的具體內容，僅檢查是否存在該標頭。 Eclair 的 API 使用基本認證並接受表單編碼參數，因此一旦瀏覽器快取了密碼，操作者開啟的任何頁面上的純 HTML 表單均可向其發送 POST 請求。這無需 CORS 授權。頁面無法讀取回應，但鏈上發送或通道關閉操作已執行完畢。瀏覽器會在這些請求中設置 Origin，而 curl 不會；檢查是否存在 Origin 標頭也能捕捉到沙箱 iframe 發送的 Origin: null。 該修復於 9 月 15 日合併，比 0.14.3 版本標記晚一天，並於 10 月 15 日發佈。 同一團隊開發的 phoenixd 也透過基本認證接受表單編碼參數，但我無法在 0.9.3 版本中找到任何 Origin 檢查。這是因為 phoenixd 不需要此檢查，還是尚未被發現？