OmniRoute 路由守卫豁免集加固实践用「精确成员断言」替代「计数快照」让 LOCAL_ONLY 只读豁免测试可命名、可查替换【免费下载链接】OmniRouteNever stop coding. Free MIT AI gateway: one endpoint, 352 providers (150 free), 1200 models Kimi, Claude, GPT, Gemini, GLM, DeepSeek, MiniMax. Works with Claude Code, Codex, Cursor, OpenCode, Cline Copilot. Quota-aware auto-fallback, RTKCaveman compression saves 15-95% tokens, MCP/A2A, Desktop/PWA. Built by 550 contributors项目地址: https://gitcode.com/GitHub_Trending/om/OmniRoute导读OmniRoute 的授权管线authz pipeline将大量「可派生子进程、可被隧道利用为远程代码执行RCE」的管理面 API 路由划入LOCAL_ONLY仅回环层并允许极少数只读路径以 GET/HEAD/OPTIONS 从非回环客户端访问。LOCAL_ONLY_API_GET_EXEMPTIONS正是这扇窄门的白名单——而一旦测试对它的断言退化为只看有几个豁免项就会同时丧失可诊断性无法点名越界路径与防替换能力同名计数下路径被偷换也照常通过。本文以维护片段 changelog.d/maintenance/11580-get-exemption-membership-pin.md 为切入点结合 routeGuard.ts 的实现与相关测试完整拆解按精确成员exact membership固定豁免集这条测试加固策略。读完你将掌握豁免集为什么只能精确匹配、计数断言存在哪两类失效模式、以及如何写出能命名违规路径并捕获替换的回归断言。变更缘起一则 changelog 维护片段仓库的 changelog.d/ 按features/、fixes/、maintenance/分类收纳变更片段。本次讨论的 11580-get-exemption-membership-pin.md 全文如下test(authz):pinLOCAL_ONLY_API_GET_EXEMPTIONSby exact membership instead of by entry count, so the guard names the offending path and also catches a substitution (#11580)一句话信息量很大此前该豁免集存在一份按条数断言的守卫测试例如断言集合长度为 1这次被重写为按精确成员断言。其动机有两点——可命名names the offending path计数断言失败时只告诉你期望 1 条、实际 N 条却不说是哪一条路径越界成员断言能直接点名。捕获替换catches a substitution把/api/system/version偷换成别的路由集合规模仍然是 1纯计数断言会静默通过成员断言则立刻失败。要真正理解这条测试为什么值得这样加固需要先看清它守护的对象——三层路由守卫与豁免机制。从三层路由守卫谈起豁免集守卫的是什么路由守卫的完整实现位于 routeGuard.ts。该文件头部注释L1-L22定义了三层路由模型Tier 1 — LOCAL_ONLY仅可从回环loopback访问。这些路由会派生子进程暴露给非本地流量属于已知 CVE 类别文件中引用了 GHSA-fhh6-4qxv-rpqj。无论认证状态如何一律无条件拦截并返回403 LOCAL_ONLY。Tier 2 — ALWAYS_PROTECTED即使requireLoginfalse也始终要求认证覆盖破坏性/不可逆操作。Tier 3 — MANAGEMENT默认要求认证但在requireLoginfalse时放行既有行为。Tier 1 的匹配面由三部分构成数据结构匹配语义典型示例LOCAL_ONLY_API_PREFIXES前缀数组path p \|\| path.startsWith(p)/api/mcp/、/api/services/、/api/system/versionLOCAL_ONLY_API_PATTERNS正则数组re.test(path)覆盖派生段位于动态参数之后的路由POST /api/providers/{id}/login、/refresh-cursorLOCAL_ONLY_MANAGE_SCOPE_BYPASS_PREFIXES携带managescope 的 API key 可选择性放行的前缀/api/mcp/其中LOCAL_ONLY_API_PREFIXESL33-L76逐条注释了为何该路径 spawn 子进程例如/api/cli-tools/runtime/运行 CLI 工具、/api/tunnels/tailscale/login会执行tailscale up、/api/settings/mitm会安装系统级信任根证书、/api/db-backups/exportAll用tar打包导出。这些注释是理解豁免边界的第一手依据——只有读方法不 spawn、不产生特权变更的路径才有资格进入豁免名单。豁免机制窄门只对精确路径、只对安全方法开启由于某些 LOCAL_ONLY 路径本身包含读安全、写危险的两面性守卫需要按 HTTP 方法差异化放行。豁免集的声明与判定逻辑位于 routeGuard.ts L209-L256export const LOCAL_ONLY_API_GET_EXEMPTIONS: ReadonlySetstring new Set([ /api/system/version, /api/tunnels/cloudflared, ]); /** Safe HTTP methods that can be exempted for read-only paths. */ const SAFE_METHODS new Set([GET, HEAD, OPTIONS]); export function isLocalOnlyPath(path: string, method?: string): boolean { // Method-aware GET exemption: only exact-match paths in the exemption set // are eligible; prefix/wildcard matching is intentionally NOT used... if (method SAFE_METHODS.has(method.toUpperCase()) LOCAL_ONLY_API_GET_EXEMPTIONS.has(path)) { return false; } return ( LOCAL_ONLY_API_PREFIXES.some((p) path p || path.startsWith(p)) || LOCAL_ONLY_API_PATTERNS.some((re) re.test(path)) ); }规则可以归纳为四点方法白名单豁免仅在GET/HEAD/OPTIONS时生效写方法一律维持 LOCAL_ONLY。精确匹配Set.has(path)要求路径与豁免条目逐字节一致绝不使用前缀或通配——避免把 spawn 路由的子路径一并打开。安全默认method参数缺省例如安全扫描脚本只传路径时返回true保守判定防止任何 spawn 路径被意外放行。豁免资格有硬性前提注释L213-L214明确——只有读方法不执行任何子进程派生、也不暴露特权变更的路径才允许进入豁免集。当前豁免集的两位成员及其理由都写在注释里L216-L221/api/system/version——GET 只读package.json与 npm registry只有 POST 才触发自动更新派生git checkoutnpm installpm2。此路径因 Bug #5083GET 被局域网误拦而豁免。/api/tunnels/cloudflared——GET 只读隧道状态只有 POST 才派生 cloudflared 进程#11531。为什么按条数断言守卫不住豁免集历史上对该豁免集的守卫是计数式的典型写法形如assert.equal(LOCAL_ONLY_API_GET_EXEMPTIONS.size, 1)。其缺陷可由测试注释tests/unit/authz/route-guard-version-get-exemption.test.ts L94-L99精确概括Every entry here opens a local-only path to LAN/remote GET, so the set must never grow by accident. Pinned by membership rather than bysize: a count cannot say WHICH path appeared, and it cannot see a substitution at all — swapping/api/system/versionfor some other route keeps size at 1 and passes.翻译成两类失效场景失守一无法点名集合从 1 涨到 2断言只是数量不对开发者不得不手动 diff 源码去找是哪条路径被加进来、它凭什么安全。而豁免集每多一个条目就意味着向局域网/远端多开一扇只读门审查成本应尽量前置到测试本身。失守二无法查替换攻击者或误操作把既有豁免路径/api/system/version替换成另一条同样敏感、但读方法也 spawn的路径集合size不变计数断言直接放行——这是典型的断言写成恒真式安全测试反模式。因此 #11580 的修法不是微调计数而是从断言对象上根治不再断言集合的规模而是断言集合的内容。精确成员校验的落地形态一份会点名、能查替换的回归测试加固后的核心断言在 route-guard-version-get-exemption.test.ts L105-L110test(LOCAL_ONLY_API_GET_EXEMPTIONS holds exactly the reviewed paths, () { assert.deepEqual([...LOCAL_ONLY_API_GET_EXEMPTIONS].sort(), [ /api/system/version, /api/tunnels/cloudflared, ]); });这个断言做到了三点内容是权威deepEqual对集合成员做完整比对多一条、少一条、换一条都会失败且失败信息直接打印期望与实际数组——违规路径被点名。顺序无关先[...set].sort()再比对集合本身无序也不影响断言稳定性。变更即评审测试注释明确写道——Adding a path is still meant to fail here; the fix is to add it to this list in the same change, with the reason it is safe for a read-only method.L98-L99也就是说任何新增豁免都必须在同一变更里同步更新此断言并附带安全理由形成改豁免必经测试评审的强制路径。同一测试文件的其余用例则把豁免机制的边界契约全部钉死L22-L110豁免适用GET/HEAD/OPTIONS /api/system/version均NOT local-only写方法仍封锁POST/PUT/PATCH/DELETE /api/system/version一律local-onlyPOST 会派生 git/npm/pm2安全默认不带 method 调用isLocalOnlyPath(/api/system/version)返回true精确匹配边界GET /api/system/version/extra子路径不被豁免仍为 local-only不扩散到其他前缀GET /api/mcp/sse、GET /api/services/9router/start、GET /api/db-backups/exportAll等一律保持 local-only——证明豁免只作用在精确路径上。纵深配套另一个豁免成员的双重锁定豁免集中的第二位成员/api/tunnels/cloudflared另有专项测试 tests/unit/authz/route-guard-tunnel-processes-local-only.test.ts 单独断言其存在于集合中LOCAL_ONLY_API_GET_EXEMPTIONS.has(/api/tunnels/cloudflared)。这与精确成员总断言并不重复专项测试以行为语义cloudflared 隧道路由的 GET 被豁免组织用例总断言以集合不变式豁免集恰好等于这两条路径组织用例二者构成双向锁定——即便将来重构为其他数据结构任何一条语义不被某个测试覆盖另一条也会兜底。这也是成员断言优于计数断言在可维护性上的又一体现每一层断言都对应一条可读的业务规则。源头守卫check-route-guard-membership扫描脚本与测试闭环除了豁免集的运行时判定测试仓库还维护了一套源头级扫描机制防止本应 LOCAL_ONLY 却未被归类的派生路由漏网扫描脚本 scripts/check/check-route-guard-membership.ts 遍历src/app/api/**/route.ts将其映射为真实 URL 路径含动态段占位符再调用isLocalOnlyPath判断每条 spawn 路由是否都落入了 local-only 面。测试 tests/unit/check-route-guard-membership.test.ts 为其提供纯函数级别的回归覆盖例如用漏掉/api/services/前缀的合成谓词验证findUnclassifiedSpawnRoutes能精确点名未归类路由L62-L74还验证routeFileToApiPath对动态段与 Windows 反斜杠的归一化L31-L51防止误报/漏报。该测试还固化了两条已归类的 spawn 路径/api/system/version与/api/db-backups/exportAll必须在LOCAL_ONLY_API_PREFIXES中且不再存在于冻结的未归类例外集合L135-L146——这与 #11580 加固的豁免集指向同一对路径可见版本检查 / 自动更新是 OmniRoute 安全面中被反复审视的高危区域。值得注意的是 routeGuard.ts 对每个 spawn 前缀的注释都标注了溯源如found by 6A.8 route-guard gate、Hard Rules #15/#17说明这些归类本身就是扫描闸门发现漏洞后的闭环产物而非一次性人工清单。豁免集采用成员断言正是为了让后续每一条新增豁免都经过同等强度的评审。实践要点给豁免守卫测试作者的迁移清单把计数断言迁移为精确成员断言的完整检查项如下用内容替换规模assert.equal(set.size, N)→assert.deepEqual([...set].sort(), [...])让失败信息能点名。在断言旁维护成员语义注释逐条说明为什么该路径的读方法安全、哪类写方法仍被封锁评审者可据此判断新增条目的合规性可参考 route-guard-version-get-exemption.test.ts L94-L104 的写法。补充反例用例至少覆盖子路径不受豁免如/extra与其他 spawn 前缀不受豁免如/api/mcp/防止豁免语义被人误读为前缀放行。保留安全默认断言对不带 method 的调用断言仍返回保守值防止脚本路径意外开闸。让新增豁免在同一变更内红→绿先让成员断言因新增而失败再于同一提交中更新豁免集与注释——这正是测试驱动加固TDD在安全清单上的标准循环。与源头扫描联动若豁免面向的路由属于 spawn 面如本案例的/api/system/version同时确保它已被check-route-guard-membership归类为 local-only 并在对应测试中固化避免测试自洽但实际路由已不在守卫面内。小结LOCAL_ONLY_API_GET_EXEMPTIONS看似只是两条路径的小集合却是 OmniRoute RCE-via-tunnel 防线Hard Rules #15/#17、GHSA-fhh6-4qxv-rpqj上极窄的一道只读侧门。门越小越需要测试能精确地守住门的内容而非门的数量。#11580 的加固把豁免集不能意外增长从一句口头约定变成了会点名违规路径、能当场识破路径替换的可执行契约——这一用精确成员断言固定安全白名单的模式同样适用于任何规模小、责任重、常被误加的权限/豁免/放行清单值得在同类安全守卫测试中复用。相关源码与测试索引豁免集声明与匹配逻辑src/server/authz/routeGuard.tsTier 模型 L1-L22、豁免集 L209-L229、isLocalOnlyPathL231-L256精确成员固定测试tests/unit/authz/route-guard-version-get-exemption.test.tscloudflared 豁免语义测试tests/unit/authz/route-guard-tunnel-processes-local-only.test.tsspawn 路由归类扫描测试tests/unit/check-route-guard-membership.test.ts扫描脚本scripts/check/check-route-guard-membership.tsspawn 能力常量src/shared/constants/spawnCapablePrefixes.ts变更片段changelog.d/maintenance/11580-get-exemption-membership-pin.md【免费下载链接】OmniRouteNever stop coding. Free MIT AI gateway: one endpoint, 352 providers (150 free), 1200 models Kimi, Claude, GPT, Gemini, GLM, DeepSeek, MiniMax. Works with Claude Code, Codex, Cursor, OpenCode, Cline Copilot. Quota-aware auto-fallback, RTKCaveman compression saves 15-95% tokens, MCP/A2A, Desktop/PWA. Built by 550 contributors项目地址: https://gitcode.com/GitHub_Trending/om/OmniRoute创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 OmniRoute 路由守卫豁免集加固实践：用「精确成员断言」替代「计数快照」，让 LOCAL_ONLY 只读豁免测试可命名、可查替换
OmniRoute 路由守卫豁免集加固实践用「精确成员断言」替代「计数快照」让 LOCAL_ONLY 只读豁免测试可命名、可查替换【免费下载链接】OmniRouteNever stop coding. Free MIT AI gateway: one endpoint, 352 providers (150 free), 1200 models Kimi, Claude, GPT, Gemini, GLM, DeepSeek, MiniMax. Works with Claude Code, Codex, Cursor, OpenCode, Cline Copilot. Quota-aware auto-fallback, RTKCaveman compression saves 15-95% tokens, MCP/A2A, Desktop/PWA. Built by 550 contributors项目地址: https://gitcode.com/GitHub_Trending/om/OmniRoute导读OmniRoute 的授权管线authz pipeline将大量「可派生子进程、可被隧道利用为远程代码执行RCE」的管理面 API 路由划入LOCAL_ONLY仅回环层并允许极少数只读路径以 GET/HEAD/OPTIONS 从非回环客户端访问。LOCAL_ONLY_API_GET_EXEMPTIONS正是这扇窄门的白名单——而一旦测试对它的断言退化为只看有几个豁免项就会同时丧失可诊断性无法点名越界路径与防替换能力同名计数下路径被偷换也照常通过。本文以维护片段 changelog.d/maintenance/11580-get-exemption-membership-pin.md 为切入点结合 routeGuard.ts 的实现与相关测试完整拆解按精确成员exact membership固定豁免集这条测试加固策略。读完你将掌握豁免集为什么只能精确匹配、计数断言存在哪两类失效模式、以及如何写出能命名违规路径并捕获替换的回归断言。变更缘起一则 changelog 维护片段仓库的 changelog.d/ 按features/、fixes/、maintenance/分类收纳变更片段。本次讨论的 11580-get-exemption-membership-pin.md 全文如下test(authz):pinLOCAL_ONLY_API_GET_EXEMPTIONSby exact membership instead of by entry count, so the guard names the offending path and also catches a substitution (#11580)一句话信息量很大此前该豁免集存在一份按条数断言的守卫测试例如断言集合长度为 1这次被重写为按精确成员断言。其动机有两点——可命名names the offending path计数断言失败时只告诉你期望 1 条、实际 N 条却不说是哪一条路径越界成员断言能直接点名。捕获替换catches a substitution把/api/system/version偷换成别的路由集合规模仍然是 1纯计数断言会静默通过成员断言则立刻失败。要真正理解这条测试为什么值得这样加固需要先看清它守护的对象——三层路由守卫与豁免机制。从三层路由守卫谈起豁免集守卫的是什么路由守卫的完整实现位于 routeGuard.ts。该文件头部注释L1-L22定义了三层路由模型Tier 1 — LOCAL_ONLY仅可从回环loopback访问。这些路由会派生子进程暴露给非本地流量属于已知 CVE 类别文件中引用了 GHSA-fhh6-4qxv-rpqj。无论认证状态如何一律无条件拦截并返回403 LOCAL_ONLY。Tier 2 — ALWAYS_PROTECTED即使requireLoginfalse也始终要求认证覆盖破坏性/不可逆操作。Tier 3 — MANAGEMENT默认要求认证但在requireLoginfalse时放行既有行为。Tier 1 的匹配面由三部分构成数据结构匹配语义典型示例LOCAL_ONLY_API_PREFIXES前缀数组path p \|\| path.startsWith(p)/api/mcp/、/api/services/、/api/system/versionLOCAL_ONLY_API_PATTERNS正则数组re.test(path)覆盖派生段位于动态参数之后的路由POST /api/providers/{id}/login、/refresh-cursorLOCAL_ONLY_MANAGE_SCOPE_BYPASS_PREFIXES携带managescope 的 API key 可选择性放行的前缀/api/mcp/其中LOCAL_ONLY_API_PREFIXESL33-L76逐条注释了为何该路径 spawn 子进程例如/api/cli-tools/runtime/运行 CLI 工具、/api/tunnels/tailscale/login会执行tailscale up、/api/settings/mitm会安装系统级信任根证书、/api/db-backups/exportAll用tar打包导出。这些注释是理解豁免边界的第一手依据——只有读方法不 spawn、不产生特权变更的路径才有资格进入豁免名单。豁免机制窄门只对精确路径、只对安全方法开启由于某些 LOCAL_ONLY 路径本身包含读安全、写危险的两面性守卫需要按 HTTP 方法差异化放行。豁免集的声明与判定逻辑位于 routeGuard.ts L209-L256export const LOCAL_ONLY_API_GET_EXEMPTIONS: ReadonlySetstring new Set([ /api/system/version, /api/tunnels/cloudflared, ]); /** Safe HTTP methods that can be exempted for read-only paths. */ const SAFE_METHODS new Set([GET, HEAD, OPTIONS]); export function isLocalOnlyPath(path: string, method?: string): boolean { // Method-aware GET exemption: only exact-match paths in the exemption set // are eligible; prefix/wildcard matching is intentionally NOT used... if (method SAFE_METHODS.has(method.toUpperCase()) LOCAL_ONLY_API_GET_EXEMPTIONS.has(path)) { return false; } return ( LOCAL_ONLY_API_PREFIXES.some((p) path p || path.startsWith(p)) || LOCAL_ONLY_API_PATTERNS.some((re) re.test(path)) ); }规则可以归纳为四点方法白名单豁免仅在GET/HEAD/OPTIONS时生效写方法一律维持 LOCAL_ONLY。精确匹配Set.has(path)要求路径与豁免条目逐字节一致绝不使用前缀或通配——避免把 spawn 路由的子路径一并打开。安全默认method参数缺省例如安全扫描脚本只传路径时返回true保守判定防止任何 spawn 路径被意外放行。豁免资格有硬性前提注释L213-L214明确——只有读方法不执行任何子进程派生、也不暴露特权变更的路径才允许进入豁免集。当前豁免集的两位成员及其理由都写在注释里L216-L221/api/system/version——GET 只读package.json与 npm registry只有 POST 才触发自动更新派生git checkoutnpm installpm2。此路径因 Bug #5083GET 被局域网误拦而豁免。/api/tunnels/cloudflared——GET 只读隧道状态只有 POST 才派生 cloudflared 进程#11531。为什么按条数断言守卫不住豁免集历史上对该豁免集的守卫是计数式的典型写法形如assert.equal(LOCAL_ONLY_API_GET_EXEMPTIONS.size, 1)。其缺陷可由测试注释tests/unit/authz/route-guard-version-get-exemption.test.ts L94-L99精确概括Every entry here opens a local-only path to LAN/remote GET, so the set must never grow by accident. Pinned by membership rather than bysize: a count cannot say WHICH path appeared, and it cannot see a substitution at all — swapping/api/system/versionfor some other route keeps size at 1 and passes.翻译成两类失效场景失守一无法点名集合从 1 涨到 2断言只是数量不对开发者不得不手动 diff 源码去找是哪条路径被加进来、它凭什么安全。而豁免集每多一个条目就意味着向局域网/远端多开一扇只读门审查成本应尽量前置到测试本身。失守二无法查替换攻击者或误操作把既有豁免路径/api/system/version替换成另一条同样敏感、但读方法也 spawn的路径集合size不变计数断言直接放行——这是典型的断言写成恒真式安全测试反模式。因此 #11580 的修法不是微调计数而是从断言对象上根治不再断言集合的规模而是断言集合的内容。精确成员校验的落地形态一份会点名、能查替换的回归测试加固后的核心断言在 route-guard-version-get-exemption.test.ts L105-L110test(LOCAL_ONLY_API_GET_EXEMPTIONS holds exactly the reviewed paths, () { assert.deepEqual([...LOCAL_ONLY_API_GET_EXEMPTIONS].sort(), [ /api/system/version, /api/tunnels/cloudflared, ]); });这个断言做到了三点内容是权威deepEqual对集合成员做完整比对多一条、少一条、换一条都会失败且失败信息直接打印期望与实际数组——违规路径被点名。顺序无关先[...set].sort()再比对集合本身无序也不影响断言稳定性。变更即评审测试注释明确写道——Adding a path is still meant to fail here; the fix is to add it to this list in the same change, with the reason it is safe for a read-only method.L98-L99也就是说任何新增豁免都必须在同一变更里同步更新此断言并附带安全理由形成改豁免必经测试评审的强制路径。同一测试文件的其余用例则把豁免机制的边界契约全部钉死L22-L110豁免适用GET/HEAD/OPTIONS /api/system/version均NOT local-only写方法仍封锁POST/PUT/PATCH/DELETE /api/system/version一律local-onlyPOST 会派生 git/npm/pm2安全默认不带 method 调用isLocalOnlyPath(/api/system/version)返回true精确匹配边界GET /api/system/version/extra子路径不被豁免仍为 local-only不扩散到其他前缀GET /api/mcp/sse、GET /api/services/9router/start、GET /api/db-backups/exportAll等一律保持 local-only——证明豁免只作用在精确路径上。纵深配套另一个豁免成员的双重锁定豁免集中的第二位成员/api/tunnels/cloudflared另有专项测试 tests/unit/authz/route-guard-tunnel-processes-local-only.test.ts 单独断言其存在于集合中LOCAL_ONLY_API_GET_EXEMPTIONS.has(/api/tunnels/cloudflared)。这与精确成员总断言并不重复专项测试以行为语义cloudflared 隧道路由的 GET 被豁免组织用例总断言以集合不变式豁免集恰好等于这两条路径组织用例二者构成双向锁定——即便将来重构为其他数据结构任何一条语义不被某个测试覆盖另一条也会兜底。这也是成员断言优于计数断言在可维护性上的又一体现每一层断言都对应一条可读的业务规则。源头守卫check-route-guard-membership扫描脚本与测试闭环除了豁免集的运行时判定测试仓库还维护了一套源头级扫描机制防止本应 LOCAL_ONLY 却未被归类的派生路由漏网扫描脚本 scripts/check/check-route-guard-membership.ts 遍历src/app/api/**/route.ts将其映射为真实 URL 路径含动态段占位符再调用isLocalOnlyPath判断每条 spawn 路由是否都落入了 local-only 面。测试 tests/unit/check-route-guard-membership.test.ts 为其提供纯函数级别的回归覆盖例如用漏掉/api/services/前缀的合成谓词验证findUnclassifiedSpawnRoutes能精确点名未归类路由L62-L74还验证routeFileToApiPath对动态段与 Windows 反斜杠的归一化L31-L51防止误报/漏报。该测试还固化了两条已归类的 spawn 路径/api/system/version与/api/db-backups/exportAll必须在LOCAL_ONLY_API_PREFIXES中且不再存在于冻结的未归类例外集合L135-L146——这与 #11580 加固的豁免集指向同一对路径可见版本检查 / 自动更新是 OmniRoute 安全面中被反复审视的高危区域。值得注意的是 routeGuard.ts 对每个 spawn 前缀的注释都标注了溯源如found by 6A.8 route-guard gate、Hard Rules #15/#17说明这些归类本身就是扫描闸门发现漏洞后的闭环产物而非一次性人工清单。豁免集采用成员断言正是为了让后续每一条新增豁免都经过同等强度的评审。实践要点给豁免守卫测试作者的迁移清单把计数断言迁移为精确成员断言的完整检查项如下用内容替换规模assert.equal(set.size, N)→assert.deepEqual([...set].sort(), [...])让失败信息能点名。在断言旁维护成员语义注释逐条说明为什么该路径的读方法安全、哪类写方法仍被封锁评审者可据此判断新增条目的合规性可参考 route-guard-version-get-exemption.test.ts L94-L104 的写法。补充反例用例至少覆盖子路径不受豁免如/extra与其他 spawn 前缀不受豁免如/api/mcp/防止豁免语义被人误读为前缀放行。保留安全默认断言对不带 method 的调用断言仍返回保守值防止脚本路径意外开闸。让新增豁免在同一变更内红→绿先让成员断言因新增而失败再于同一提交中更新豁免集与注释——这正是测试驱动加固TDD在安全清单上的标准循环。与源头扫描联动若豁免面向的路由属于 spawn 面如本案例的/api/system/version同时确保它已被check-route-guard-membership归类为 local-only 并在对应测试中固化避免测试自洽但实际路由已不在守卫面内。小结LOCAL_ONLY_API_GET_EXEMPTIONS看似只是两条路径的小集合却是 OmniRoute RCE-via-tunnel 防线Hard Rules #15/#17、GHSA-fhh6-4qxv-rpqj上极窄的一道只读侧门。门越小越需要测试能精确地守住门的内容而非门的数量。#11580 的加固把豁免集不能意外增长从一句口头约定变成了会点名违规路径、能当场识破路径替换的可执行契约——这一用精确成员断言固定安全白名单的模式同样适用于任何规模小、责任重、常被误加的权限/豁免/放行清单值得在同类安全守卫测试中复用。相关源码与测试索引豁免集声明与匹配逻辑src/server/authz/routeGuard.tsTier 模型 L1-L22、豁免集 L209-L229、isLocalOnlyPathL231-L256精确成员固定测试tests/unit/authz/route-guard-version-get-exemption.test.tscloudflared 豁免语义测试tests/unit/authz/route-guard-tunnel-processes-local-only.test.tsspawn 路由归类扫描测试tests/unit/check-route-guard-membership.test.ts扫描脚本scripts/check/check-route-guard-membership.tsspawn 能力常量src/shared/constants/spawnCapablePrefixes.ts变更片段changelog.d/maintenance/11580-get-exemption-membership-pin.md【免费下载链接】OmniRouteNever stop coding. Free MIT AI gateway: one endpoint, 352 providers (150 free), 1200 models Kimi, Claude, GPT, Gemini, GLM, DeepSeek, MiniMax. Works with Claude Code, Codex, Cursor, OpenCode, Cline Copilot. Quota-aware auto-fallback, RTKCaveman compression saves 15-95% tokens, MCP/A2A, Desktop/PWA. Built by 550 contributors项目地址: https://gitcode.com/GitHub_Trending/om/OmniRoute创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考