zhangxunwei

感谢你的反馈

> 一、详细说明： 使用来源白名单功能时，没有设置orgin的客户端请求会立即通过，功能失效。 二、漏洞证明(在这里写POC)： github上最新的代码： https://github.com/alibaba/Sentinel/blob/master/sentinel-core/src/main/java/com/alibaba/csp/sentinel/slots/block/authority/AuthorityRuleChecker.java  三、修复方案： 应去掉StringUtil.isEmpty(requester)的判断，否则白名单功能失效，产生非法访问的漏洞。 一个解决方案是：在实现 RequestOriginParser#parseOrigin 方法是默认返回一个来源（如：defaultOrigin），而不是返回为空字符串。 当然直接放行 origin 为空的请求感觉确实有点怪怪的。

> > > >  > > > > My question is why the process is interrupted? > > > > > > > > > I'm not sure whether...

I understand. Thank you for your selfless dedication.