Защитная инструкция по Guzzle PSR-7 и ghsa-34xg-wgjx-8xph: применимость, обратимый тест границы «единственная канонизация request-target, URI authority и Host header», измеримый исход, stop-rule и обезличенный пакет поддержки.
Сначала определите применимость для Guzzle PSR-7
Проверяемая граница здесь — единственная канонизация request-target, URI authority и Host header. Зафиксируйте runtime version, digest сборки, способ поставки и включённость именно этого пути. Reviewed advisory перечисляет «guzzlehttp/psr7 < 2.10.2 → исправлено в 2.10.2», но одна запись в lockfile не доказывает версию загруженного процесса. Отдельно укажите, кто может достичь функции и какие защитные слои стоят перед ней. Если provenance, конфигурация или достижимость не подтверждены, итоговый статус должен быть unknown, а не vulnerable или safe. Оценка advisory не является доказательством эксплуатации, ущерба или применимости к конкретному серверу.
Что подтверждает GHSA-34xg-wgjx-8xph, а что остаётся неизвестным
GitHub Reviewed Advisory опубликована 2026-06-11, обновлена 2026-07-15 и описывает: guzzlehttp/psr7 has Host Confusion via Authority Reinterpretation. Для пакетов указана граница «guzzlehttp/psr7 < 2.10.2 → исправлено в 2.10.2». Upstream guzzle/psr7 подтверждает происхождение проекта; даты, механизм и версии берутся из advisory, а не выводятся по README или поисковому сниппету. Источники не сообщают состояние вашей установки, частоту проблемы, наличие атаки, популярность запроса, индексацию или позицию страницы. Любой community-пост можно использовать лишь как лид для перепроверки, но не как основание технического вывода.
Диагностическая модель: единственная канонизация request-target, URI authority и Host header
Пользовательская боль формулируется узко: неоднозначный authority может привести к другому Host после повторной интерпретации запроса. Наблюдайте не общий признак «работает/не работает», а независимые контрольные точки из артефакта «таблица raw-uri / canonical-authority / host-header / reparsed-authority / decision». Положительная ветвь нужна для отличия защиты от сломанного стенда: обычный HTTPS URI с явным портом сохраняет одинаковые authority и Host. Граничную ветвь запускают после baseline, один раз и с заранее записанными лимитами. Такой порядок отделяет сам механизм от сетевого сбоя, неверной роли, старого cache, несовпадения конфигурации или ошибки fixture. Все marker-значения должны быть бессмысленными и не пригодными как credential.
Один обратимый опыт с измеримым результатом
Подготовьте набор локально разбираемых URI с userinfo, портом и delimiter-вариантами без отправки сетевых запросов. После снимка baseline нужно создать PSR-7 request для каждого fixture, сериализовать и повторно разобрать, затем сравнить canonical authority и Host. До запуска задайте пределы wall-time, CPU, памяти, файлов, сокетов и числа запросов, подходящие этому fixture. Ожидаемое наблюдение формулируется заранее: Host совпадает с каноническим URI authority, неоднозначные формы отклоняются, повторный parse не меняет назначение. Не используйте production tokens, реальные документы, пользовательские журналы, публичные цели или чужие адреса. После первой граничной точки не увеличивайте нагрузку и не расширяйте вход: очистите только созданные ресурсы, повторите normal-control и сравните состояние с первоначальным digest.
Как вынести вердикт из контрольных точек
Основной результат — таблица raw-uri / canonical-authority / host-header / reparsed-authority / decision. Passed требует одновременно защитного исхода «Host совпадает с каноническим URI authority, неоднозначные формы отклоняются, повторный parse не меняет назначение», успешного normal-control и возврата к baseline. Failed допустим только при воспроизводимом нарушении той же границы на том же fixture; один timeout или неожиданный status недостаточен. Not-applicable требует доказанной runtime-версии вне advisory range либо документированно недостижимого кода. Unknown сохраняют при неполном provenance, нестабильной среде, отсутствующем trace или несогласованных показаниях. Эти четыре исхода нельзя заменять одним severity score.
Stop-rule, обновление и обезличенный пакет поддержки
Жёсткий stop-rule: прекратить набор при первом расхождении destination между двумя разборами. При попадании runtime в затронутый range обновление берут только из доверенного канала guzzle/psr7, затем повторяют прежний fixture с теми же лимитами и normal-control. В поддержку передают версию процесса, build digest, ветвь конфигурации, expected/observed, класс исключения или status, лимиты, временную шкалу и хэши synthetic fixtures. Удалите cookies, ключи, IP, внутренние имена, абсолютные пути и содержимое файлов. Этот материал описывает безопасную проверку и не является инструкцией по эксплуатации, обещанием нулевого риска или универсальным доказательством защищённости.
Материал подготовлен редакцией VOne с помощью ИИ; ссылки, даты, диапазоны версий, безопасный опыт и отсутствие рекламных обещаний затем перепроверены по прямым источникам.
Источники и проверка
- GitHub Reviewed Advisory ghsa-34xg-wgjx-8xph проверено 2026-08-31
- Upstream-репозиторий guzzle/psr7 проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.