上传请求不携带任何认证凭据（apig-app-key/apig-app-secret 在 README 中声明但未实现），导致上传端点无法验证请求来源身份。攻击者获取公开的 upload_url 后，可伪造扫描结果上传，从而污染接口兼容性报告或绕过 PR 门禁检测。同时 action.yml 硬编码了含 APIC 标识符的华为云域名，该标识符随 Action 分发给所有使用者。
实现上传请求的认证机制（API Key/HMAC签名），将APIC标识符移至Action secrets中动态传入。
漏洞信息
漏洞描述
上传请求不携带任何认证凭据（apig-app-key/apig-app-secret 在 README 中声明但未实现），导致上传端点无法验证请求来源身份。攻击者获取公开的 upload_url 后，可伪造扫描结果上传，从而污染接口兼容性报告或绕过 PR 门禁检测。同时 action.yml 硬编码了含 APIC 标识符的华为云域名，该标识符随 Action 分发给所有使用者。
受影响资产
修复建议
实现上传请求的认证机制（API Key/HMAC签名），将APIC标识符移至Action secrets中动态传入。