الخلاصة

  • يقترح المسوّد /.well-known/knowledge-linkset لنشر روابط مصنفة إلى مواد معرفية ونظراء، لكن كل رابط أو إعادة توجيه يمكن أن يصبح طلب شبكة نحو وجهة حساسة.
  • يجب تقييم المخطط والاسم والعنوان المحلول والعنوان المتصل فعلياً في كل قفزة، مع إبقاء اكتشاف المحتوى والتحقق من بايتاته ومنح صلاحية العمل قرارات منفصلة.

وافق الفاحص على الاسم لأنه بدا نطاقاً عاماً عادياً. كان عنوانه عاماً أيضاً لحظة الفحص. بعد أجزاء من الثانية، وقبل الاتصال، أعاد DNS الاسم إلى عنوان خاص داخل مركز البيانات. تابع الوكيل رابط النظير كما صُمم، لكنه عبر بذلك من خريطة منشورة على الإنترنت إلى خدمة لم يكن يفترض أن يراها أحد من الخارج.

هذا ليس عيباً غريباً يخص تطبيقاً رديئاً. إنه نتيجة مباشرة لتحويل العلاقات إلى عمليات جلب. مسوّدة The 'knowledge-linkset' Well-Known URI for Publishing Knowledge Artefacts، التي قدم بول بيسلياغا نسختها 00 في 30 سبتمبر 2026، تقترح وثيقة JSON عند /.well-known/knowledge-linkset. تستطيع الجهة المالكة للأصل أن تعلن روابط إلى سياق ورسوم وأنطولوجيا ومهارات وحالة آنية ودفاتر وساحات تعاون ونظراء وغيرها من المواد المعرفية.

المقترح ما زال إيداعاً فردياً نشطاً، ويستهدف صفة Informational. لا توجد مجموعة عمل مسؤولة أو مدير منطقة أو مكانة رسمية تمثل إجماع IETF. اسم well-known المطلوب مؤقت، وتسجيل معرّف ملف التعريف مسار مستقل. هذه الوضعية لا تلغي الفكرة، لكنها تمنع التعامل مع وجودها في Datatracker كضمان أمني أو تزكية لكل مورد يجري اكتشافه.

الرابط تعليمة شبكة حتى لو لم يكن تعليمة للوكيل

تمنح RFC 8615 موضعاً متوقعاً للبيانات الوصفية تحت أصل واحد. وتقدم RFC 8288 وRFC 9264 نموذج الروابط ومجموعات الروابط. الفائدة واضحة: يبدأ العميل من عنوان معلن بدل التخمين أو البحث الحر. لكن بمجرد أن يقرأ رابطاً ويتبعه، يصبح قارئ الوثيقة عميلاً شبكياً ذا صلاحيات وموضع داخل البنية.

تهديد SSRF ينشأ لأن ناشر الرابط يستطيع اختيار المضيف والمسار، ولأن إعادة التوجيه تستطيع تغييرهما. قد يشير الهدف إلى loopback أو عنوان خاص أو link-local أو multicast أو خدمة بيانات وصفية سحابية. وقد تستخدم الصياغة تمثيلاً عددياً أو اسم مستخدم في URL لإرباك محلل بسيط. فحص السلسلة الخام أو اسم المضيف مرة واحدة ليس سياسة كافية.

العميل الآمن يحلل URL ويطبّعه قبل القرار، ويسمح بالمخططات المقصودة فقط، ويرفض الأشكال الملتبسة ومعلومات المستخدم غير اللازمة. يحل الأسماء بواسطة محلل خاضع للسيطرة، ويصنف كل عنوان ناتج، ويحظر النطاقات الداخلية والمحجوزة ما لم توجد موافقة صريحة. ثم يعيد الفحص عند كل إعادة توجيه وعند العنوان الذي اتصلت به المقبس فعلياً. هكذا يغلق نافذة DNS rebinding بين التحقق والاستخدام.

ينبغي أيضاً تحديد عدد إعادة التوجيه، ومنع الانتقال غير المتوقع من HTTPS، وتسجيل السلسلة كاملة. إن كان التنفيذ يمر عبر وكيل خروج أو شبكة خدمة، فيجب أن تصل السياسة إلى النقطة التي تنشئ الاتصال الحقيقي؛ قرار التطبيق وحده لا يكفي إذا غيّر وسيط لاحق الوجهة.

الرسم البياني يحتاج ميزانية ومعنى للنتيجة الجزئية

علاقات النظراء توسع مجال الاكتشاف، لكنها قد تنتج دورات وتفرعات ضخمة. يجب وضع حدود للعمق وعدد العقد والبايتات والزمن والتوازي والطلبات لكل أصل. وتحتاج العقد إلى معرفات مطبعة لكشف الدوران من دون دمج موارد مختلفة خطأً.

عند نفاد الميزانية، تكون النتيجة جزئية. عبارة «لم نعثر عليه ضمن هذا المسار المحدود» لا تعني أن المادة غير موجودة. وقد لا يظهر المورد لأن العرض العام مختصر، أو لأن بيانات الاعتماد غير كافية، أو لأن الفرع يقع وراء الحد. يجب الاحتفاظ بسبب التوقف والجبهة التي لم تُزر، وإظهار ذلك للمستخدم وصانع القرار.

هذا التواضع مهم بقدر أهمية منع SSRF. زيادة الميزانية بلا حدود ليست علاجاً؛ إنها تعطي الناشر المعادي قدرة على استنزاف الذاكرة والاتصالات. المطلوب نطاق معروف ونتيجة أمينة، لا ادعاء بإحصاء عالم مفتوح.

التطابق يثبت البايتات لا السلطة

تتيح المسودة إرفاق خلاصات مشفرة بالمواد. تشرح RFC 9530 وRFC 9651 حقول ملخص المحتوى الحديثة في HTTP، ويمكن لملف تعريف أن يحدد تطبيع JSON مثل RFC 8785. عند التطابق، يعرف العميل أن التمثيل المسترجع يطابق القيمة المعلنة وفق القاعدة المختارة.

لا تثبت الخلاصة أن المادة صحيحة أو آمنة أو مرخصة أو كتبها الشخص المتوقع. إذا سيطر مهاجم على وثيقة الاكتشاف والهدف معاً، أمكنه نشر زوج جديد متطابق. يساعد TLS وDNS على معرفة الأصل الذي استجاب، لكن السيطرة على الأصل ليست هوية تحريرية. الاستضافة المشتركة والتعهيد والاستحواذ واختراق الحساب تفصل بينها بسهولة.

يجب أن يحدد الملف ما الذي يدخل الحساب: بايتات النقل، المحتوى بعد فك الضغط، أم تمثيل مطبع. تفاوض المحتوى والتحويلات الوسيطة قد ينتجان قيماً مختلفة بصورة مشروعة. غياب الخلاصة يعني «غير متحقق بهذه الآلية»، لا «خبيث». وعدم التطابق يستدعي رفض ذلك التمثيل والتحقيق، لكنه لا يحدد وحده المسؤول.

تستطيع HTTP Message Signatures في RFC 9421 ربط مكونات مختارة بمفتاح. يبقى السؤال: من يملك المفتاح، ولأي نوع من المواد، وفي أي فترة، وما العمليات التي يحق له طلبها؟ التوقيع الصحيح لا يتحول تلقائياً إلى تفويض تشغيلي.

النص الخارجي يظل بيانات خارجية

قد تحمل العلاقة اسماً مثل skills أو contribute أو now. الاسم يساعد على التصنيف ولا يرفع نص الهدف إلى قناة أوامر موثوقة. إذا احتوى المحتوى على طلب لكشف أسرار أو تجاوز القيود أو تعديل الإنتاج، فيجب أن يقرأه الوكيل كمادة يجري تحليلها، لا كتعليمات نظام.

يحفظ جامع آمن المصدر والعنوان الأول والأخير وسلسلة التحويل والعنوان المتصل ونوع الوسائط والعلاقة ونتيجة الخلاصة والزمن وحكم الثقة. أما خدمة التنفيذ فتتلقى طلب قدرة منظم يذكر المستخدم والمستأجر والمورد والمدة وإصدار السياسة. دمج سياسة النظام وكلام المشغل والنص البعيد في محادثة مسطحة يمحو الحد الفاصل.

التخزين المؤقت لا يستعيده. تسمح RFC 9111 وETag بإعادة التحقق بكفاءة، لكن 304 Not Modified يقول إن الخادم يعتبر التمثيل غير متغير بالنسبة إلى مدققه. لا يجدد هوية الكاتب أو تفويضه. القرارات الحساسة تحتاج إلى حفظ نسخة الخريطة التي قادت إلى الهدف، وعمرها ومدققها والسياسة المستخدمة.

الاستمرارية لا تنقل الثقة

قد تعلن tombstone نهاية عقدة وتشير إلى خلف. هذا يحافظ على قابلية العثور، لكنه لا ينقل الهوية أو الحضانة أو الترخيص. على العميل حفظ المعرّف القديم وحالة النهاية، وتسجيل ادعاء الخلافة، ثم تقييم العقدة الجديدة من البداية. وقد يكون للخلف مشغل ومفتاح وشروط استخدام مختلفة تماماً.

دفتر أو مؤشر حالة آنية يوفر دليلاً زمنياً. تذكر رأس سابق يساعد على كشف التراجع أو الاستبدال. إذا ظهرت روايتان متعارضتان، لا يستطيع الدفتر اختيار الموثوق منهما بذاته؛ لا بد من سلطة مسماة أو أرشيف مستقل أو نصاب أو إجراء استرداد.

كما أن نشر الخريطة قد يكشف وجود موارد محمية وأسماءها وأنواعها وتواتر تحديثها وخلاصاتها. يمكن تقديم عرض عام مختصر وعرض أوسع للمصادق عليهم، وحذف القيم الحساسة، مع إعلان أن العرض غير كامل. غياب رابط عن عرض ما ليس برهان عدم وجوده.

في حادثة البداية، لم يكن الحل منع جميع النظراء. كان يلزم إبقاء قرار الاتصال تحت سيطرة مستقلة وإعادة تقييم العنوان عند لحظة الاستخدام. knowledge-linkset يمكن أن يجعل تراث المعرفة قابلاً للاكتشاف على نطاق واسع. وكلما اتسع النطاق، صار واجباً ألا تتحول خريطة القراءة إلى ممر نحو الداخل أو إلى تصريح بالعمل.

Sources