已开启
【安全】【计算IT应用安全编码要求】token泄露-触发请求体整包打印与URL传递 #21
陈明旭创建于 19 天前
崔世英
13 天前 评论：
13 天前 评论：
已修复（分支 security-issues）。
修复方法
- APIG 请求体日志经
maskAccessToken()脱敏（src/apig-client.ts）； - Gitee 令牌从 URL 查询参数改为
Authorization: Bearer头（gitee-pr-client.ts/gitee-label-client.ts）； - 触发请求不再携带 accessToken（
PrSyncTriggerRequest已删除该字段）。
7 天前 关联了pull request：fix(security): 修复敏感信息泄露与供应链安全问题
4 天前 issue状态由 待修复 改变为 待验收
问题概述
APIG 触发请求体含 accessToken 却被 core.info 整包打印到流水线日志（前轮已知问题仍未修复），OIDC/AppCode 分支响应体亦整包打印；另有 Gitee 平台约定的 token URL 传参留痕面。
问题清单
src/apig-client.ts:85/135、src/main.ts:67（dist 运行时打包同步）[APIG] → ${url.href} ${bodyStr}) 整包打印含 accessToken: token 的请求体（types.ts:102）；OIDC 分支响应体整包打印（:98-102）、AppCode 分支同模式（:158）src/platform/gitee/gitee-pr-client.ts:24、gitee-label-client.ts:19