10/15 深夜快报：sub2api 自定义页面把登录 Token 拼进第三方网址，两条修复都还没合并
补报 10 月 15 日 23:01 到 23:55（北京）：sub2api 的自定义菜单页面会把当前账号的登录 token 拼进目标网址，指向第三方域名就等于把凭证送出去；另外 TypeSafe 带图请求的开关头在网关这一层被丢掉，两条修复都还开着没合并。
补报 10 月 15 日 23:01 到 23:55（北京）。
这个窗口里四个仓库都没有发新版，主干也没有新提交，所以本期没有要升的版本。四条动作全部落在还没合并的 PR，以及配套开出的 issue 上。
其中一条不用等版本。sub2api 的自定义菜单页面会把当前登录用户的 token 拼进目标网址，菜单里只要有一条指向第三方域名，凭证今天就跟着过去。
结论与影响面
受影响的是两类部署。
一类是 sub2api 上配过自定义菜单页面、且其中某个 url 指向自己不完全掌控的域名的站点。用户打开这个页面，浏览器就把当前账号的登录 token 当成
?token= 交给对方，管理员账号同样。另一类是通过 sub2api 的
POST /v1/systemone 发图片的站点。这条路由会把 TypeSafe 要求的图片开关头丢掉，带图请求稳定回 400，客户端只看得到一句网关统一的报错。今晚三条动作：
- 打开后台的自定义菜单列表，逐条看 url 的域名。不完全由自己掌控的，先摘掉，或换成自己域名下的页面。
- 走
/v1/systemone发图的链路，先确认撞的是不是这个丢头问题。确认了就等修复，在客户端改请求头没有用。 - codex-proxy 的代理分配还没落版本，今晚不用动。
主线一：自定义页面把登录 token 与 user_id 拼进目标网址
先看正在跑的这版代码。
打开自定义菜单页时，这样拼出来的网址同时给了 iframe 和右上角的「新窗口打开」按钮，两条路径读的是同一个变量 2。
v0.2.16 的发行标签里没有逐页开关，这两个参数一定会带上。开关是随下面这个 PR 才加进来的。
这次改动由 issue
#8124 带出，北京 23:29 开出，open、无标签、0 评论 3。iframe 与「新窗口打开」遵循同一份配置；
src_url 改成只带来源页面的 origin 与路径，不再复制查询串和锚点 4。管理界面新加中英文两个开关，旁边配一条提示：转发登录 token 等于把当前账号的访问权限交出去，而且可能留在目标站点的网址日志里 4。
兼容性也写在 PR 正文里：已经依赖自动透传的集成，升级后要管理员逐页重新打开所需字段 4。
这件事不是新问题。
#2788 在 5 月 26 日就提出「支持关闭自定义 iframe 参数传输」，现在仍开着 5。#3839 在 7 月 9 日把 Token 泄露和 Stored XSS、SSRF、明文 API Key 并列写进同一份安全问题清单，现在也仍开着 6。今晚能做的只有一件事：登录后台，把自定义菜单逐条过一遍，只看 url 的域名。凡是不完全由自己掌控的目标，先摘掉，或换成自己域名下的页面。这一条不用等版本，改完立刻生效。
frontend/src/utils/embedded-url.ts，高亮段是第 16–41 行。第 26 到 31 行把 user_id 与 token 写进目标网址，第 40 行取 window.location.href 当 src_url 的值 1。主线二：TypeSafe 的图片开关头在网关这一层丢了
现象很直接。客户端向
POST /v1/systemone 发 JSON 图片请求，就算带上 TypeSafe-Danger-Zone-Images: true，上游还是回 400，客户端只看到网关统一返回的 TypeSafe rejected the request。纯文本请求不需要这个开关，照常成功 7。原因在网关重建上游请求那一步。
typesafe.NewSystemOneRequest 只设了 Authorization 与 Content-Type，ForwardSystemOne 也没有复制这个开关头。JSON 里的 assets 保留着，唯独官方要求的 opt-in 头丢了 7。官方对这条的要求写得很死：图片功能处于实验阶段、默认关闭，每一个包含图片的请求都必须带上这个头，缺了就返回 400 8。
在这条修复合并之前，带图请求只能等。换账号重试帮不上忙：这条路由既有的错误策略里，400、413、422 这类请求错误直接返回，不换账号、也不改账号状态 9。
主线三：codex-proxy 的代理取值语义在评审后被改过
PR
#873 北京 9:28 开出，基分支 dev，24 个文件 +721/−85，做的是两件事：让每个第三方 API Key 单独指定走哪个代理，以及让全局 fetch dispatcher 绕过回环地址 10。评审抓住了一个真实的取值 bug。界面里选「Global Default」时，
KeyRow 往上传的是 null，而 ProxyPool.resolveProxyUrlById 当时把 null 当成直连 10。作者在北京 23:41 推了第二笔提交
35561b6，同一分钟在 PR 里贴出逐条回复 11。同一笔提交还补了写入侧的校验：
POST /auth/api-keys 与 PATCH /auth/api-keys/:id/proxy 只接受 global、direct、auto 或代理池里真实存在的代理 ID，其他值回 400 13。与运维更相关的是回环绕过那一半。
src/proxy/fetch-dispatcher.ts 改用 undici 的 EnvHttpProxyAgent，把 localhost、127.0.0.1、::1 和 NO_PROXY、no_proxy 合并成 noProxy 列表 14。PR 正文写明了它要修的具体故障：配置或探测到外部代理时，全局代理 agent 会把发往本机地址的请求也送去代理，本地模型（Ollama 这类）在离线或代理拒绝回环时就接不上 10。
这个 PR 仍开着、未合并、基分支
dev。codex-proxy 的最新发行版还是 v2.1.17，本窗口内没有新版本，今晚不用动。上游与社区：本窗口无新事件
Claude 状态页是 All Systems Operational，10 月 15 日那一栏写着 No incidents reported today 15。
Google Cloud 最近一条事件仍是 10 月 8 日到 9 日的 Cloud Storage 上传与写入延迟 16。
OpenAI 状态页仍是 Partial System Degradation，唯一事件仍是北京 10 月 15 日 01:00 标记的 Compliance API 成本数据延迟，窗口内没有新更新 17。
Codex 重置追踪两站都停在同一条记录上。codex-reset.com 记最近一次已验证的全局重置在北京 10 月 15 日 14:13，也就是 10 小时前，累计 54 次，24 小时概率 18%、48 小时 33%，模型置信度低 18。
opentherank 记最近一次重置在北京 10 月 15 日 12:55，累计 62 次，中位间隔 3.1 天 19。
社区侧没有与中转相关的信号。r/ClaudeAI 窗口内那条讲怎么用 Claude 追回酒店差价 20。
OpenAI 官方开发者社区的 Codex 分区订阅源本轮拉回来是空的，0 条，本期没有从它取到信号 23。
本期未闭合项
- sub2api
#8125：自定义页面的逐页开关，open、未合并、mergeable 干净。下期先看有没有并进main、会不会随 v0.2.17 发出。 - sub2api
#8123：TypeSafe 图片开关头透传，open、未合并。同上，先看有没有并进main。 - sub2api
#8121：GPT-5.5 在 ChatGPT 登录侧退役的修复，仍开着、未合并，窗口内没有新事件 24。 - CLIProxyAPI
#6661：vertex 版本段误判的修复，仍开着、未合并，基分支dev25。这个仓库本窗口的新 issue 与新 PR 都是 0 条。 - codex-proxy
#873：第二笔提交已经回应了评审，PR 还在dev分支上开着。 - 版本侧：CLIProxyAPI 最新发行版仍是 v8.0.30 26，sub2api 仍是 v0.2.16 27，codex-proxy 是 v2.1.17、codex2api 是 v3.1.0。四个仓库本窗口都没有新版本。
References
- 1
- 2
- 3自定义页面逐页控制登录 Token 与用户 ID 透传，默认关闭
github.com
- 4
- 5支持关闭自定义 iframe 参数传输
github.com
- 6
- 7fix(typesafe): 透传 System One 图片开关请求头
github.com
- 8TypeSafe 文档：Turning on images
docs.typesafe.ai
- 9sub2api v0.2.16 README 第 853 行
github.com
- 10
- 11
- 12
- 13
- 14
- 15Claude Status
status.anthropic.com
- 16Google Cloud incidents.json
status.cloud.google.com
- 17OpenAI Status summary
status.openai.com
- 18Codex Reset Tracker
codex-reset.com
- 19Codex reset tracker
opentherank.com
- 20
- 21Wow...
reddit.com
- 22
- 23Codex - OpenAI Developer Community
community.openai.com
- 24
- 25
- 26CLIProxyAPI Releases
github.com
- 27sub2api Releases
github.com
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.