漏洞总结：Authorization bypass via path normalization mismatch 漏洞概述 Heimdall 在原始（未规范化）请求路径上进行规则匹配，而下游组件可能根据 RFC 3986 第 6.2.2.3 节对点段（如 、 或 URL 编码变体）进行规范化。这种差异可能导致 Heimdall 对一个路径授权，而下游服务处理的是另一个规范化后的路径。 触发条件：当 选项设置为 或 时，下游最终处理不同的规范化路径（如 ）。 影响范围 受影响版本： 修复版本： CVSS 评分：7.8 / 10 (High) 利用向量：网络 攻击复杂度：低 影响： - 绕过访问控制策略 - 访问或修改受限数据 - 调用需要认证/授权功能 - 权限提升 修复方案 1. 规范化 HTTP 路径或拒绝包含相对路径表达式的 HTTP 路径（如 ）。 2. 在 JWT 中包含预期执行的规则 ID，并在服务中检查该值。 POC 代码 利用示例：如果攻击者发送请求 ，将匹配并执行 rule-2。下游服务可能规范化路径并解释为 。