[GH-ISSUE #2565] 明文模式下 token 的運作方式安全性

gitea-mirror commented

2026-05-05 13:19:01 -06:00

Owner

Copy link

Originally created by @KusakabeShi on GitHub (Sep 5, 2021).
Original GitHub issue: https://github.com/fatedier/frp/issues/2565

Describe the feature request

您好，想請教token是如何在frps和frpc之間傳遞的?

我不擔心數據被竊聽，因為ssh已經有加密了。所以我想讓frp運作在明文模式

但是如果frp運作在明文模式，token是否會以明文傳輸呢?
這讓是否能讓中間人攔截我的token，假冒我的身分以frpc連接我的frps呢?

還是說會有挑戰的過程，伺服器產生一次性challange(或是使用jwt)，並計算 md5(challange+token)
把challange明文傳輸給frpc。 frpc也計算 md5(challange+token) ，回傳給frps
token完全沒有被傳輸到

因為文檔沒有提到token如何被處裡的，想來問問

Describe alternatives you've considered

No response

Affected area

Docs
Installation
Performance and Scalability
Security
User Experience
Test and Release
Developer Infrastructure
Client Plugin
Server Plugin
Extensions
Others

Originally created by @KusakabeShi on GitHub (Sep 5, 2021). Original GitHub issue: https://github.com/fatedier/frp/issues/2565 ### Describe the feature request 您好，想請教token是如何在frps和frpc之間傳遞的? 我不擔心數據被竊聽，因為ssh已經有加密了。所以**我想讓frp運作在明文模式** 但是如果frp運作在明文模式，**token是否會以明文傳輸呢?** 這讓是否能讓中間人攔截我的token，假冒我的身分以frpc連接我的frps呢? 還是說會有挑戰的過程，伺服器產生一次性challange(或是使用jwt)，並計算 md5(challange+token) 把challange明文傳輸給frpc。 frpc也計算 md5(challange+token) ，回傳給frps token完全沒有被傳輸到因為文檔沒有提到token如何被處裡的，想來問問 ### Describe alternatives you've considered _No response_ ### Affected area - [X] Docs - [ ] Installation - [ ] Performance and Scalability - [X] Security - [ ] User Experience - [ ] Test and Release - [ ] Developer Infrastructure - [ ] Client Plugin - [ ] Server Plugin - [ ] Extensions - [ ] Others

gitea-mirror

2026-05-05 13:19:01 -06:00

closed this issue
added the
lifecycle/stale
label

gitea-mirror commented

2026-05-05 13:19:04 -06:00

Author

Owner

Copy link

@fatedier commented on GitHub (Sep 6, 2021):

你的猜测是正确的，传输的时候会用 token + timestamp 做 hash 运算。

@fatedier commented on GitHub (Sep 6, 2021): 你的猜测是正确的，传输的时候会用 token + timestamp 做 hash 运算。

gitea-mirror commented

2026-05-05 13:19:05 -06:00

Author

Owner

Copy link

@KusakabeShi commented on GitHub (Sep 6, 2021):

所以就算是明文傳輸模式，也不用擔心黑客攔截token，假冒我的frpc，把流量導向黑客的frpc上，對吧?

對了，hash(token + timestamp)，可能有重放攻擊，想請教針對這點有做防禦嗎?

@KusakabeShi commented on GitHub (Sep 6, 2021): 所以就算是明文傳輸模式，也不用擔心黑客攔截token，假冒我的frpc，把流量導向黑客的frpc上，對吧? 對了，hash(token + timestamp)，可能有重放攻擊，想請教針對這點有做防禦嗎?

gitea-mirror commented

2026-05-05 13:19:06 -06:00

Author

Owner

Copy link

@fatedier commented on GitHub (Sep 7, 2021):

更多的细节建议阅读代码了解。

@fatedier commented on GitHub (Sep 7, 2021): 更多的细节建议阅读代码了解。

gitea-mirror commented

2026-05-05 13:19:06 -06:00

Author

Owner

Copy link

@github-actions[bot] commented on GitHub (Oct 8, 2021):

Issues go stale after 30d of inactivity. Stale issues rot after an additional 7d of inactivity and eventually close.

@github-actions[bot] commented on GitHub (Oct 8, 2021): Issues go stale after 30d of inactivity. Stale issues rot after an additional 7d of inactivity and eventually close.

No Branch/Tag specified