待验证50% 置信事实精确时间

HTTP请求中的User-Agent字段由客户端自行声明，HTTP协议未为该字段引入任何身份验证机制，任何人都可以随意伪造

1

来源数

50%

置信度

长期有效

时效性

2026/8/14

首次发现

来源

黑客伪装ClaudeBot发起大规模漏洞扫描：识别与防御指南

相关事实

待验证企业系统鉴权中，Token 通常以 Authorization: Bearer <token> 的形式携带在 HTTP 请求头中70% 相似待验证恶意站点可利用伪造的OAuth授权请求，在真实页面上诱导用户授权，从而无需获取密码即可控制账号65% 相似待验证BSK复用用户真实登录身份，Agent操作等同于以用户身份在网站上行动，网站无法区分手动操作还是Agent自动化63% 相似待验证WebAuthn 在注册时会将服务域名（Origin）与密钥绑定，使得仿冒域名的钓鱼网站无法触发合法签名62% 相似待验证API签名机制的核心目的是防止请求篡改和未授权访问62% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/747728

API

curl https://kongchang.com/api/v1/knowledge/claims/747728

MCP

get_claim(id=747728)