【安全】【安全功能规范检查】触发请求体中的仓库访问令牌明文打印至流水线日志-pr-sync-action-AtomGit

Open

【安全】【安全功能规范检查】触发请求体中的仓库访问令牌明文打印至流水线日志 #22

陈明旭Add on 18 days ago

陈明旭Collaborators

18 days ago Create

问题概述

PR 同步触发请求体携带仓库访问令牌 accessToken，OIDC 与 AppCode 两条传输路径均将完整请求体经 core.info 原样输出到流水线日志，令牌对所有可见日志者泄露。

序号	问题入口/文件	问题代码位置	证据说明	检查项编号
1	main.ts（触发体组装）	`src/main.ts:57-68`	触发请求体含 accessToken 字段（types.ts:102 定义）	F.R.ATH.CMP.4.2.3
2	apig-client.ts（OIDC 路径日志）	`src/apig-client.ts:85`	core.info 输出完整请求体（含 accessToken 明文）	F.R.ATH.CMP.4.2.3
3	apig-client.ts（AppCode 路径日志）	`src/apig-client.ts:135`	同上，完整请求体原样输出	F.R.ATH.CMP.4.2.4

增加统一脱敏函数，序列化后以正则将 accessToken 字段值替换为 ***，两处 core.info 均改用脱敏后的 body 再输出。

崔世英Collaborators

16 days ago Comments：

同 issue #5/#9：APIG 请求体日志已脱敏（maskAccessToken），且触发请求已移除 accessToken 字段（PrSyncTriggerRequest 接口同步删除），令牌不再出现在流水线日志。已修复（分支 security-issues）。

崔世英Collaborators

10 days ago Associated pull request

崔世英Collaborators

8 days ago Associated pull request

崔世英Collaborators

7 days ago changed custom state from 待修复 to 待验收