【安全】【SENINFO】公网地址环境域名硬编码-pr-sync-action-AtomGit

已开启

【安全】【SENINFO】公网地址环境域名硬编码 #8

赵威创建于 9月29日

9月29日创建

问题描述

文件路径	行号	内容	描述	结论	说明
pr-sync-action-master/.pre-commit-config.yaml	8,23	["https://gitcode.com"]	GitCode 平台地址（钩子镜像/页面，配置硬编码）	需修改	公网地址硬编码在代码/配置中，按要求属于问题需修改：建议改为配置项/环境变量注入，避免公网地址硬编码。
pr-sync-action-master/action.yml	9	["https://apig.openlibing.com"]	openlibing APIG 网关地址（action.yml 输入默认值）	需修改	公网地址硬编码在代码/配置中，按要求属于问题需修改：建议改为配置项/环境变量注入，避免公网地址硬编码。
pr-sync-action-master/dist/index.js	805,1491	["https://api.gitcode.com"]	GitCode 平台 API 基址常量（业务代码硬编码）	需修改	公网地址硬编码在代码/配置中，按要求属于问题需修改：建议改为配置项/环境变量注入，避免公网地址硬编码。
pr-sync-action-master/dist/index.js	1659,1750	["https://gitee.com"]	Gitee 平台 API 基址常量（业务代码硬编码）	需修改	公网地址硬编码在代码/配置中，按要求属于问题需修改：建议改为配置项/环境变量注入，避免公网地址硬编码。
pr-sync-action-master/dist/index.js	6151	["https://token.actions.githubusercontent.com"]	OIDC 令牌颁发者地址（错误提示文案，硬编码）	需修改	公网地址硬编码在代码/配置中，按要求属于问题需修改：建议改为配置项/环境变量注入，避免公网地址硬编码。
pr-sync-action-master/package-lock.json	116,1787,1871,3792,4290	["https://opencollective.com"]	npm 包赞助元数据地址（package-lock.json）	需修改	公网镜像/赞助地址硬编码在 package-lock.json（npm 依赖锁文件，自动生成）中，按要求属于问题需修改：建议改用内网/制品库地址或构建期统一替换，避免公网地址硬编码。
pr-sync-action-master/package-lock.json	26,37,47,58,65,80,90,121,138,155 165,179,197,207,217,227,237,251,267,280 293,306,322,338,351,364,380,393,406,419 432,445,458,474,490,506,521,540,554,561 578,595,612,629,646,663,680,697,714,731 748,765,782,799,816,833,850,867,884,901 918,935,952,969,986,1003,1013,1030,1040,1058 1106,1122,1136,1149,1167,1183,1227,1240,1255,1271 1287,1314,1332,1343,1354,1364,1371,1382,1391,1398 1408,1418,1432,1442,1453,1463,1473,1480,1490,1500 1511,1521,1528,1538,1545,1555,1571,1581,1597,1611 1621,1643,1660,1677,1693,1720,1737,1744,1757,1768 1781,1815,1828,1838,1845,1855,1865,1886,1903,1913 1929,1936,1951,1962,1969,1982,1989,1996,2003,2025 2040,2058,2073,2083,2093,2103,2110,2123,2130,2140 2150,2192,2202,2212,2226,2250,2259,2276,2283,2293 2306,2320,2327,2342,2352,2362,2372,2382,2395,2417 2424,2446,2456,2469,2476,2486,2506,2516,2528,2535 2542,2558,2568,2578,2588,2601,2608,2618,2635,2648 2663,2678,2692,2719,2734,2766,2800,2846,2862,2875 2892,2910,2920,2946,2960,2976,2997,3012,3030,3040 3061,3075,3108,3142,3174,3187,3205,3223,3236,3256 3272,3288,3295,3309,3322,3329,3342,3352,3362,3369 3382,3389,3399,3415,3428,3435,3445,3452,3466,3476 3489,3499,3506,3513,3520,3527,3537,3547,3560,3570 3586,3602,3615,3631,3641,3660,3670,3680,3690,3697 3704,3717,3727,3740,3755,3768,3782,3799,3806,3816 3838,3851,3861,3871,3881,3894,3904,3911,3918,3928 3938,3949,3956,3969,3983,3998,4011,4021,4031,4044 4057,4070,4085,4092,4105,4158,4171,4184,4203,4213 4223,4236,4250,4264,4277,4284,4315,4330,4340,4356 4363,4381,4388,4402,4412,4419,4438,4448	["https://registry.npmmirror.com"]	npm 制品下载公网镜像地址（package-lock.json resolved 字段）	需修改	公网镜像/赞助地址硬编码在 package-lock.json（npm 依赖锁文件，自动生成）中，按要求属于问题需修改：建议改用内网/制品库地址或构建期统一替换，避免公网地址硬编码。
pr-sync-action-master/package-lock.json	1791,1875,4294	["https://tidelift.com"]	npm 包资金元数据地址（package-lock.json）	需修改	公网镜像/赞助地址硬编码在 package-lock.json（npm 依赖锁文件，自动生成）中，按要求属于问题需修改：建议改用内网/制品库地址或构建期统一替换，避免公网地址硬编码。
pr-sync-action-master/src/label-manager.ts	11	["https://api.gitcode.com"]	GitCode 平台 API 基址常量（业务代码硬编码）	需修改	公网地址硬编码在代码/配置中，按要求属于问题需修改：建议改为配置项/环境变量注入，避免公网地址硬编码。
pr-sync-action-master/src/platform/gitcode/gitcode-pr-client.ts	6	["https://api.gitcode.com"]	GitCode 平台 API 基址常量（业务代码硬编码）	需修改	公网地址硬编码在代码/配置中，按要求属于问题需修改：建议改为配置项/环境变量注入，避免公网地址硬编码。
pr-sync-action-master/src/platform/gitee/gitee-label-client.ts	6	["https://gitee.com"]	Gitee 平台 API 基址常量（业务代码硬编码）	需修改	公网地址硬编码在代码/配置中，按要求属于问题需修改：建议改为配置项/环境变量注入，避免公网地址硬编码。
pr-sync-action-master/src/platform/gitee/gitee-pr-client.ts	6	["https://gitee.com"]	Gitee 平台 API 基址常量（业务代码硬编码）	需修改	公网地址硬编码在代码/配置中，按要求属于问题需修改：建议改为配置项/环境变量注入，避免公网地址硬编码。

修复建议

将所有硬编码的公网地址改为通过配置项或环境变量注入，避免公网地址硬编码在代码中。

赵赵威成员

9月29日修改了issue 的描述

mafeifei成员

23 天前关联了pull request：fix(security): redact accessToken logs, move gitee token to header, inject api urls

崔世英成员

11 天前评论：

已修复/收敛（分支 security-issues，按评审意见调整：保留默认值，仅做可覆盖）。

处理结果

平台 API 基址支持环境变量注入：GITCODE_API_BASE_URL、GITEE_API_BASE_URL（label-manager.ts / gitcode-pr-client.ts / gitee-pr-client.ts / gitee-label-client.ts），缺省保持公网地址；
openlibing_apig_url 保留默认值与 required: false，描述补充可经仓库/组织变量注入覆盖（经评审确认无需去除默认）；
.pre-commit-config.yaml：GitCode 镜像地址加注释说明——pre-commit 的 repos 列表不支持环境变量注入，属工具链必要公网地址；
package-lock.json 为 npm 自动生成文件，本仓未改动；如需内网源建议在 CI 侧统一 .npmrc 替换。

崔世英成员

2 天前 issue状态由待修复改变为待验收