- приложение запускается локально (например, на `localhost`) или во внутренней сети
- и в приложении нет аутентификации, оно предполагает, что любому запросу из той же сети можно доверять.

## Пример атаки { #example-attack }

Представьте, что вы сделали способ запускать локального ИИ-агента.

Он предоставляет API по адресу

```
http://localhost:8000/v1/agents/multivac
```

Есть также фронтенд по адресу

```

        assertEquals("*test query*", service.callWrapQuery("test query"));
    }

    @Test
    public void test_wrapQuery_withSpecialCharacters() {
        assertEquals("*test@example.com*", service.callWrapQuery("test@example.com"));
    }

    @Test
    public void test_wrapQuery_multipleInternalWildcards() {
        assertEquals("*test*query*search*", service.callWrapQuery("test*query*search"));
    }

            }

            @Override
            public String getNotificationTo() {
                return "admin@example.com";
            }

            @Override
            public String getMailFromAddress() {
                return "noreply@example.com";
            }

            @Override
            public String getMailFromName() {
                return "Fess Crawler";

        @Override
        public String getMailFromAddress() {
            return "fess@example.com";
        }

        @Override
        public String getMailFromName() {
            return "Fess System";
        }

        @Override
        public String getMailReturnPath() {
            return "bounce@example.com";
        }
    }

        "full_name": "John Doe",
        "email": "johndoe@example.com",
        "hashed_password": "$argon2id$v=19$m=65536,t=3,p=4$wagCPXjifgvUFBzq4hqe3w$CYaIb8sB+wtD+Vu/P4uod1+Qof8h+1g7bbDlBID48Rc",
        "disabled": False,
    },
    "alice": {
        "username": "alice",
        "full_name": "Alice Chains",
        "email": "alicechains@example.com",

    result = 31 * result + socketAddress.hashCode()
    return result
  }

  /**
   * Returns a string with the URL hostname, socket IP address, and socket port, like one of these:
   *
   *  * `example.com:80 at 1.2.3.4:8888`
   *  * `example.com:443 via proxy [::1]:8888`
   *
   * This omits duplicate information when possible.
   */
  override fun toString(): String =
    buildString {

        "full_name": "John Doe",
        "email": "johndoe@example.com",
        "hashed_password": "$argon2id$v=19$m=65536,t=3,p=4$wagCPXjifgvUFBzq4hqe3w$CYaIb8sB+wtD+Vu/P4uod1+Qof8h+1g7bbDlBID48Rc",
        "disabled": False,
    },
    "alice": {
        "username": "alice",
        "full_name": "Alice Chains",
        "email": "alicechains@example.com",

/// tip

這裡的 `tokenUrl="token"` 指的是尚未建立的相對 URL `token`。因為是相對 URL，所以等同於 `./token`。

由於使用了相對 URL，若你的 API 位於 `https://example.com/`，那它會指向 `https://example.com/token`；但若你的 API 位於 `https://example.com/api/v1/`，那它會指向 `https://example.com/api/v1/token`。

使用相對 URL 很重要，能確保你的應用在像是[在 Proxy 後方](../../advanced/behind-a-proxy.md)這類進階情境中仍能正常運作。

///

/// tip | 提示

这里的 `tokenUrl="token"` 指向的是尚未创建的相对 URL `token`，等价于 `./token`。

因为使用的是相对 URL，若你的 API 位于 `https://example.com/`，它将指向 `https://example.com/token`；若你的 API 位于 `https://example.com/api/v1/`，它将指向 `https://example.com/api/v1/token`。

使用相对 URL 很重要，这能确保你的应用在诸如[使用代理](../../advanced/behind-a-proxy.md)等高级用例中依然正常工作。

///

    data = response.json()
    servers = [s.get("url") for s in data.get("servers", [])]
    assert "/api/v1" in servers


def test_configured_servers_not_mutated():
    configured_servers = [{"url": "https://prod.example.com"}]
    app = FastAPI(servers=configured_servers)

    @app.get("/")
    def read_root():  # pragma: no cover
        return {"ok": True}

    # Request with a rogue root_path