只监听本机为何仍需鉴权Cline Hub 的 WebSocket 信任边界解析一、时效背景与影响范围项目公告发布于2026-06-23GitHub 已审核记录于09-24收录。公告版本表列出 npmcline 3.0.30受影响、3.0.30修复。这里讨论的是 CLI 启动的 Hub dashboard 路径不能机械映射到同名编辑器扩展的所有版本。官方描述的关键条件是 dashboard 正在运行、浏览器访问了不可信页面以及相关本地默认配置。缺少 Origin 校验让跨源页面可能连接到本地 WebSocket进一步触达状态或设置操作。命令执行还涉及工具能力、提供方配置或 MCP 激活等后续条件。公告中的动态验证与真实在野事件不是同一类证据。本次核验的一手来源没有确认在野利用。二、技术原理本地地址限制网络位置不证明页面身份以下为工程解释。一个浏览器可以同时展示多个不同来源的页面。后台看到连接来自本机并不能由此知道发起动作的是自己的控制台还是另一个网站中的脚本。WebSocket 的握手和普通 HTTP API 的调用路径不同。应用不能假设已有的 CORS 配置会自动覆盖 WebSocket 升级逻辑也不能因为首页正常加载就认为控制通道经过了授权。检查项回答的问题不能替代的检查Host请求访问哪个服务地址调用者身份Origin浏览器页面来自哪个源非浏览器客户端身份会话或秘密请求是否持有有效凭据具体操作权限操作授权当前会话能否执行此动作输入参数校验Origin 是浏览器场景的重要边界但非浏览器客户端可自定义该头。因此安全设计不能把 Origin 白名单当成万能鉴权系统。补丁把检查前移到统一入口官方修复提交引入统一的浏览器到桌面请求授权逻辑覆盖 Host、Origin 和相关配置并增加测试文件。提交还处理了显式绑定地址、默认端口规范化与公共浏览器路由。这给研发的启示是授权不应散落在某个消息处理器里。应先限制控制通道的建立再限制通道内的每个高权限动作。修补握手入口也不代表可以取消文件写入、工具注册等操作的权限检查。三、安全实验用静态请求字典测试三道门以下模型不会建立 WebSocket不访问本机端口不写入任何配置。它是比实际产品策略更简化的教学规则不是官方补丁移植。ALLOWED_HOSTdashboard.example.invalid:8443ALLOWED_ORIGINhttps://dashboard.example.invalid:8443defallowed(request):return(request.get(host)ALLOWED_HOSTandrequest.get(origin)ALLOWED_ORIGINandrequest.get(authenticated)isTrue)good{host:ALLOWED_HOST,origin:ALLOWED_ORIGIN,authenticated:True}assertallowed(good)assertnotallowed({**good,origin:https://other.example.invalid})assertnotallowed({**good,origin:None})assertnotallowed({**good,host:unexpected.example.invalid})assertnotallowed({**good,authenticated:False})print(boundary checks passed)生产系统不应从客户端 JSON 读取authenticated: true当作身份凭据这里的字段代表服务端验证后的结果。真实实现需要严格解析源、处理默认端口和代理转发并对缺失 Origin 的非浏览器客户端设计单独的认证路径。四、影响判断把暴露、写入与执行分开工程排查应分三个层次受影响版本与功能是否启用控制通道是否可能接受不可信来源高权限动作是否已经发生。前两项用于确定暴露第三项需要日志、配置差异或进程证据。异常 MCP 条目值得调查但不能仅凭一个陌生名称断定恶意。应关联创建时间、审批记录、对应可执行程序和实际启动记录。凭据泄露也需要进一步证据不能从配置写入直接跳到云账号接管结论。五、研发与安全团队行动清单P0关闭暴露窗口。更新 CLI 到公告修复版本或包含修复的适配版本无法及时升级时停用 dashboard。不要把“仍监听 127.0.0.1”作为已经缓解的依据。P1核查高权限状态。检查 MCP、提供方设置、会话策略及异常工具活动。保留变更证据后再清理只有出现泄露或失陷线索时按涉及范围撤销会话和轮换凭据。P1补齐否定测试。覆盖不可信 Origin、缺失 Origin、错误 Host、默认端口、反向代理地址与非浏览器客户端。测试应在 WebSocket 升级前断言拒绝避免连接建立后再补救。P2收紧操作能力。把读取状态、修改配置、注册执行器和执行工具拆成不同权限。会话通过认证不意味着它应默认获得所有工具的自动批准。六、总结浏览器连接本地开发工具时本地监听只是网络配置不能替代身份判断。真正的边界应贯穿握手、会话和工具动作尤其是在后台已经拥有开发者文件与执行权限的情况下。