Closed
security: EnvToken 函数命名误导 — 暗示仅读环境变量实际回退到配置文件 #365
aflyingtoAdd on Jun 27Closed at Jun 27
aflyingto
Jun 27 Comments：
Jun 27 Comments：
已修复: EnvToken() → DefaultToken()，函数名准确反映 env→file fallback 行为。无调用者，安全改名。
已修复: EnvToken() → DefaultToken()，函数名准确反映 env→file fallback 行为。无调用者，安全改名。
发现来源
Agent 2 - 安全审查 (Low)
位置
pkg/cmdutil/auth.go:13-24
证据
func EnvToken() string 在未设置环境变量时静默回退到 ~/.config/gc/auth.json。函数名暗示仅返回环境变量中的 token。当前无生产代码调用此函数，但它是公开 API。
影响评估
调用方若依赖此函数期望获得环境变量来源的语义保证，实际可能获取到文件系统存储的 token，造成认证来源混淆。
建议修复方向
函数应仅从环境变量读取，移除配置文件 fallback；或重命名为 DefaultToken 并更新文档。
🤖 Generated by daily multi-agent code review workflow