已开启
【安全】【威胁分析】轮询间隔缺少合理下限，可配置 1 秒高频轮询 #12
liudongfang创建于 21 天前
17 天前 修改标题为 “【安全】【威胁分析】轮询间隔缺少合理下限，可配置 1 秒高频轮询”，原标题为“【安全】【资源管理】轮询间隔缺少合理下限，可配置 1 秒高频轮询”
崔世英
9 天前 评论：
9 天前 评论：
已修复（分支 security-issues）。
修复方法：src/main.ts 新增 MIN_POLL_INTERVAL_SECONDS = 30 下限校验，poll_interval_seconds 低于 30 秒直接报错退出，防止误配 1 秒级高频轮询叠加多仓并发击穿 APIG 网关限流。
3 天前 关联了pull request：fix(security): 修复敏感信息泄露与供应链安全问题
3 小时前 issue状态由 待修复 改变为 待验收
问题
poll_interval_seconds仅校验>= 1：src/main.ts:89-99：if (isNaN(pollIntervalSec) || pollIntervalSec < 1) throw ...，注释建议较大间隔但未强制实际可配置 1 秒间隔的高频轮询，叠加多仓库并发使用同一网关时可能触发 APIG 限流（CWE-770）。
影响
网关限流导致自身与其他流水线的同步状态查询不可用（可用性 / 滥用风险）。Tier 2，CVSS 4.0 约 6.0。
建议修法
完整分析见《威胁建模分析报告（STRIDE-A）》，对应发现 FIND-SYNC-04。