Защитная диагностика Axios fetch adapter по GHSA-jqh4-m9w3-8hp9: применимость, обратимый локальный control, измеримый verdict, критерий остановки и минимальный пакет данных для владельца системы.
Короткий ответ — Axios fetch: maxBodyLength для ReadableStream
Задача страницы — проверить, что maxBodyLength останавливает ReadableStream неизвестной длины до полного исходящего запроса. Сначала установите фактически загруженный Axios fetch adapter, package lock или image digest и границу «axios: introduced 1.7.0, fixed 1.18.0». Advisory GHSA-jqh4-m9w3-8hp9 — сигнал для inventory, а не доказательство состояния вашей установки. Практический порядок: provenance, один benign control, один boundary-case, измеримый verdict и cleanup. Боль конкретна: поток без заранее известного размера может пройти мимо лимита тела и расходовать канал или квоту upstream. Итогом должен стать протокол adapter / configured limit / bytes read / bytes dispatched / abort reason, а не субъективное утверждение «вроде безопасно».
Граница решения в Axios fetch adapter
Разделите путь данных на переходы: ReadableStream chunks → byte counter → maxBodyLength verdict → fetch dispatcher. На каждом переходе запишите владельца значения, тип, допустимое состояние и запрещённый side effect. Проверяемая инварианта: после превышения лимита dispatcher не получает последующие чанки, а итоговый счётчик имеет фиксированный верхний предел. NOT_APPLICABLE допустим только если component/function доказанно отсутствует; неизвестные digest, версия или effective config дают UNKNOWN. Номер исправленного релиза без runtime readback не является PASS, а отсутствие инцидента не доказывает соблюдение границы.
Безопасный локальный стенд для Axios fetch adapter
Control выполняется только в disposable state: использовать локальный counting stream и stub fetch: первый набор чанков меньше лимита, второй превышает его на один небольшой чанк. Сеть, shell, production database, реальные bucket, broker, SMTP, файловые пути, токены и пользовательские данные замените spies, stubs или in-memory объектами. До запуска сохраните baseline hash, нулевые counters и лимит времени/памяти. Входы должны быть короткими синтетическими маркерами; цель — проверить ветвление и ownership, а не воспроизводить эксплуатацию или усиливать воздействие.
Control, boundary-case и наблюдения
Benign control подтверждает достижимость ожидаемой ветки. Boundary-case меняет ровно один признак, связанный с болью «поток без заранее известного размера может пройти мимо лимита тела и расходовать канал или квоту upstream», и не выходит за минимальный тестовый масштаб. Сохраните протокол adapter / configured limit / bytes read / bytes dispatched / abort reason, reason code, duration и counters до/после. Ключевое правило остаётся неизменным: после превышения лимита dispatcher не получает последующие чанки, а итоговый счётчик имеет фиксированный верхний предел. Если control не достигает целевой функции или точка наблюдения двусмысленна, verdict — UNKNOWN; добавлять более сильный вход ради красивого результата нельзя.
Как вынести PASS, FAIL и UNKNOWN
PASS требует подтверждённых provenance/version, успешного benign control, соблюдения инварианты «после превышения лимита dispatcher не получает последующие чанки, а итоговый счётчик имеет фиксированный верхний предел», нулевых запрещённых side effects и доказанного cleanup. FAIL — тот же provenance плюс наблюдаемое нарушение: stub fetch получил байты сверх лимита или stream продолжил чтение после abort. UNKNOWN означает, что нет digest, effective config, control, recorder либо возможности восстановить fixture. Запишите решение в протокол adapter / configured limit / bytes read / bytes dispatched / abort reason; один HTTP status, отсутствие exception или факт установки новой версии по отдельности недостаточны.
Красная линия и восстановление
Немедленно прекратите проверку, если stub fetch получил байты сверх лимита или stream продолжил чтение после abort. Не увеличивайте объём, глубину, число повторов и не переносите эксперимент на чужую систему. Откатите fixture к baseline, убедитесь, что counters сети, файлов, процессов, очередей и persistent writes вернулись в ожидаемое состояние, затем один раз повторите benign control. Любой неожиданный side effect блокирует PASS даже тогда, когда основной parser или policy вернул правильный код.
Почему это отдельный поисковый intent
Фокусируется на живом WHATWG-потоке fetch adapter; обычный HTTP adapter и статические Buffer не смешиваются. Поэтому статья отвечает на самостоятельный запрос «проверить, что maxBodyLength останавливает ReadableStream неизвестной длины до полного исходящего запроса» и не создаётся как замена бренда, ОС или устройства. Её deliverable — протокол adapter / configured limit / bytes read / bytes dispatched / abort reason, а измеримый stop-rule — stub fetch получил байты сверх лимита или stream продолжил чтение после abort. Если существующий URL уже покрывает ту же боль, ожидаемый ответ и дерево решения, нужен отдельный update/merge-контракт, а не новая соседняя страница.
Минимальный пакет для владельца системы
Передайте владельцу GHSA-jqh4-m9w3-8hp9, component digest, effective version/config, границу «axios: introduced 1.7.0, fixed 1.18.0», описание перехода «ReadableStream chunks → byte counter → maxBodyLength verdict → fetch dispatcher», control/boundary rows, counters, verdict, stop reason и cleanup proof. Advisory опубликована 2026-07-20 и обновлена 2026-09-01; эти даты подтверждают свежесть источника, но не популярность запроса, не факт эксплуатации и не применимость к конкретному deployment. После обновления повторите тот же fixture без изменения масштаба и сравните протокол adapter / configured limit / bytes read / bytes dispatched / abort reason.
Материал подготовлен редакцией VOne с помощью автоматизированного черновика; даты, версии и ссылки сверены по GitHub Advisory Database и первичному upstream-материалу. Текст самостоятельный, не копирует источники, не содержит эксплуатационных последовательностей и предназначен для безопасной локальной проверки.
Источники и проверка
- GitHub Advisory Database — GHSA-jqh4-m9w3-8hp9 проверено 2026-09-02
- Первичный upstream-материал — Axios fetch adapter проверено 2026-09-02
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.