GET mutation
เปิดซ้ำหรือ scanner ไม่ consume
← กลับศูนย์แจ้งเตือนmax-use ถึงขีดจำกัด GET / HEAD / prefetch = 0 mutation เข้าสู่ระบบตามปกติ 7 scenarios · fixture refs are not secrets 0 ∅ !
ลิงก์แบบครั้งเดียวถูกใช้แล้ว
การเปิดซ้ำไม่สร้าง session ใหม่
retry ของ exchange เดิมต้อง idempotent แต่ replay จากผู้ถือ code รายใหม่ต้องถูกปฏิเสธและไม่เปิดเผยปลายทาง
Safe bootstrap lifecycle
URL พามาถึงจุดเริ่ม แต่ไม่ให้สิทธิ์เอง
- 1ตรวจ code ฝั่ง serverhash lookup · purpose · expiry · revoke · max-use · rate limit
- 2ยืนยันตัวตนsign-in / OTP / step-up ตามความเสี่ยง
- 3แลก limited sessionexplicit POST · recipient-bound · audit แบบไม่เก็บ raw code
- 4ไป clean canonical URLล้าง code ก่อนโหลด asset และ authorize resource ใหม่
Safe recovery · no redirect loop
หยุดไว้ก่อนโดยไม่เปิดเผยปลายทาง
สถานะนี้ไม่สร้าง session ไม่เพิ่มสิทธิ์ และไม่เชื่อ destination จาก query หรือ browser state
Deterministic test fixtures
ลองทุกกรณีโดยไม่ใช้ token จริง
ไม่มีข้อมูลจริง
client sourceมี fixture route จึงไม่ใช่หลักฐาน pre-auth secrecy
ยังไม่ใช่ auth
ไม่มี backend, OTP, cookie, audit หรือ revoke จริง