websocket-rfc-6455 — Open Items
Aggregate of websocket-rfc-6455.en.md, generated by website/_tools/gen_open_items.py.
No new content: every entry appears there as an item with its evidence.
§10.2 Verify the origin
Status: open — the handshake (crates/websocket-bridge/src/handshake.rs) and the daemon do not check the Origin field.
§10.3 A new, unpredictable masking key per frame
Status: partial — every frame gets a new key; the test checks that consecutive keys differ. No test checks the source of the random numbers; the module also offers a predictable provider (insecure_splitmix_provider_implements_trait).
§10.4 Limits on frame and message size
Status: partial — the total size after reassembly is limited and tested; no test checks a limit on the size of a single frame (e.g. an announced length of 2^60).
§10.7 Invalid data
Status: partial — a masking violation closes with 1002, an invalid login in the handshake gets HTTP 401. Not checked one by one: the close code for every other kind of invalid data after the handshake.
websocket-rfc-6455 — offene Punkte
Aggregat aus websocket-rfc-6455.md, erzeugt von website/_tools/gen_open_items.py.
Kein eigener Inhalt: jedes Item steht dort mit seinem Beleg.
§10.2 Origin prüfen
Status: open — der Handshake (crates/websocket-bridge/src/handshake.rs) und der Daemon prüfen das Feld Origin nicht.
§10.3 Neuer, nicht vorhersagbarer Masking-Key je Frame
Status: partial — je Frame entsteht ein neuer Schlüssel; der Test prüft, dass aufeinanderfolgende Schlüssel verschieden sind. Kein Test prüft die Quelle der Zufallszahlen; das Modul bietet mit insecure_splitmix_provider_implements_trait auch einen vorhersagbaren Provider an.
§10.4 Grenzen für Frame- und Nachrichtengröße
Status: partial — die Gesamtgröße nach dem Zusammensetzen ist begrenzt und getestet; kein Test prüft eine Grenze für die Größe eines einzelnen Frames (z. B. eine angekündigte Länge von 2^60).
§10.7 Ungültige Daten
Status: partial — ein Masking-Verstoß schließt mit 1002, eine ungültige Anmeldung im Handshake bekommt HTTP 401. Nicht einzeln geprüft: der Close-Code für jede andere Art ungültiger Daten nach dem Handshake.