A2A Java SDK 安卓同步 POST 仍泄露认证头

GitHub 安全公告库发布 GHSA-4fpj-g9jf-9rgg，称 A2A Java SDK 的 Android 同步 POST 在 GHSA-9rhm 修复后仍会跟随跨域重定向，把 X-API-Key、API-Key、X-Auth-Token、X-Authentication 四个非标准认证头转发到另一个 authority。 公告称，在 Android 重新打包的 OkHttp 实现中，跨 authority 重定向会剥离 Authorization，但保留非标准请求头；AuthInterceptor 允许上述四个认证头名。此前 GHSA-9rhm 的修复在 AndroidA2AHttpClient.createConnection() 中设置了 connection.setInstanceFollowRedirects(false)，其修复提交称已在所有客户端禁用重定向，但 Android POST 层的覆盖仍存在于 1.3.0.Final、1.3.1.Final 和当前 main 中。 公告给出的最小兼容改动是把 followRedirects 的默认值由 true 改为 false。

AI 根据报道生成 · 2 天前更新

还没有足够的连续观测数据，暂不绘制趋势。