已开启
【安全】【威胁分析】请求日志明文打印含 accessToken 的完整请求体，仓库令牌进入 CI 日志 #11
liudongfang创建于 14 天前
Lliudongfang
10 天前 修改标题为 “【安全】【威胁分析】请求日志明文打印含 accessToken 的完整请求体，仓库令牌进入 CI 日志”，原标题为“【安全】【信息泄露】请求日志明文打印含 accessToken 的完整请求体，仓库令牌进入 CI 日志”
10 天前 修改标题为 “【安全】【威胁分析】请求日志明文打印含 accessToken 的完整请求体，仓库令牌进入 CI 日志”，原标题为“【安全】【信息泄露】请求日志明文打印含 accessToken 的完整请求体，仓库令牌进入 CI 日志”
崔世英
2 天前 评论：
2 天前 评论：
同 issue #5：src/apig-client.ts:97/147 两处 core.info 请求体日志均改为经 maskAccessToken() 脱敏输出，完整请求体（含 accessToken）不再进入 CI 日志。已修复（分支 security-issues）。
问题
APIG 客户端在 info 级日志中输出完整请求体，而触发同步请求的请求体包含仓库访问令牌（accessToken）：
src/apig-client.ts:85（OIDC 模式）：core.info([APIG] → ${url.href} ${bodyStr})src/apig-client.ts:135（App Code 模式）：同样完整打印bodyStrsrc/main.ts:57-68组装，其中accessToken为git_token或平台令牌明文即：每次评论事件触发同步时，仓库令牌明文进入 CI 构建日志（对有仓库读权限的成员可见）。此外
debug=true时configure({debug:true})（src/apig-client.ts:49）依赖 SDK 内部脱敏行为，脱敏覆盖度未在本仓库验证（CWE-532）。影响
仓库访问令牌泄漏到构建日志。Tier 2，CVSS 4.0 约 6.6。
建议修法
accessToken字段做脱敏（如替换为****）完整分析见《威胁建模分析报告（STRIDE-A）》，对应发现 FIND-SYNC-03。