Segurança
Uploads com progresso e site de acesso restrito
Uploads feitos com XMLHttpRequest deixaram de voltar com erro 403, e instalações de desenvolvimento ou privadas podem ser trancadas, com noindex obrigatório.
Uploads com barra de progresso usam XMLHttpRequest direto e não recebiam o token CSRF: voltavam com 403 mesmo com o usuário logado. O JavaScript global passou a envolver as requisições de escrita de mesma origem e a incluir o token quando ninguém o definiu.
Na mesma entrega, uma instalação de desenvolvimento, homologação ou privada pode ser fechada ao público pela configuração ou pela tela, com restrição por perfil. Enquanto estiver restrita, sai com noindex, nofollow.
Em resumo
- Token CSRF injetado também em
XMLHttpRequest - Site trancado por configuração, com restrição por perfil
noindex, nofollowsempre que o site está restrito
Origem: Core · req-163 · BATCH-168