GitHub 安全公告库 (GHSA)·2026-10-20 22:36· 2 天前精选AI 评分58

Hono 的 serveStatic 二次解码请求路径，导致静态路径中间件被绕过

Hono: `serveStatic` decodes the request path a second time, leading to bypass of middleware on static paths

AI 导读

GitHub 安全公告指出，Hono 在路由前已解码一次请求路径，serveStatic 解析文件前又解码一次，构造畸形百分号编码序列可让路由匹配编码形式、实际却解析到真实目录，从而绕过挂载在静态前缀上的中间件。文件仍在配置的根目录内解析，并非目录穿越；仅提供公开文件的应用不受影响。

为什么值得看

公告说明了二次解码导致静态路径中间件被绕过的条件，挂载鉴权中间件的应用可据此判断是否受影响。