Eclair v0.14.4 阻擋透過瀏覽器呼叫節點 API

閃電網路節點軟體 Eclair 已封鎖利用瀏覽器儲存的驗證資訊向節點 API 傳送指令的途徑。新版會拒絕瀏覽器發出的請求，但 API 驗證與網路存取限制仍不可少。

開發商 ACINQ 於 10 月 15 日發布 Eclair v0.14.4。只要請求帶有 Origin 標頭，無論標頭值為何，API 在處理前都會回傳 HTTP 403。Eclair 官方 API 文件指出，瀏覽器會設定這個標頭；拒絕此類請求可防止跨網站請求偽造（CSRF）。發布紀錄也說明，v0.14.4 與先前版本相容。

問題在於，瀏覽器可能會在由其他網站發起的請求中附上已儲存的 HTTP Basic 驗證資訊。使用者若開啟惡意頁面，該頁面便可能向 Eclair API 發出請求，傳送節點指令。即使惡意頁面無法讀取回應內容，請求本身仍可能抵達節點。

Eclair API 除了可查詢節點狀態，也提供開啟或關閉閃電網路通道，以及收發付款等功能。因此，當 API 已啟用、營運者的瀏覽器可連線至 API，且驗證資訊已儲存時，環境便可能受到影響。目前沒有已確認的受害規模或實際遭利用案例。

這項措施也會影響透過瀏覽器直接呼叫 API 的網頁介面。即使前端與 API 由同一來源提供，瀏覽器仍無法直接呼叫 API，營運者必須在瀏覽器與 Eclair 之間設置獨立後端。另一方面，一般的 curl 或 eclair-cli 請求不會帶有 Origin 標頭，因此仍可像過去一樣從命令列使用 API。

封鎖 Origin 標頭是用來篩除經由瀏覽器發出的請求。非瀏覽器用戶端可以省略這個標頭，因此不能只因請求沒有 Origin 標頭就認定它可信。ACINQ 在修補說明中指出，這項措施不能取代驗證機制。

ACINQ 的設定文件建議不要將 API 對外公開。API 預設為停用，預設綁定位址為本機的 127.0.0.1。營運者仍應維持這項設定並保留驗證機制。升級至 v0.14.4 時，可先在不關閉通道的情況下停止 Eclair，更新版本後再重新啟動。

這次變更封鎖了瀏覽器重用驗證資訊傳送指令的途徑，但並未消除 API 對外公開本身的風險。本刊先前曾報導，Eclair 曾修改兩處程式碼，以避免閃電網路通道的手續費損失。