【安全】【计算IT应用安全编码要求】token泄露-set-url持久写入git配置且不还原-pre-commit-action-AtomGit

已开启

【安全】【计算IT应用安全编码要求】token泄露-set-url持久写入git配置且不还原 #42

陈明旭创建于 1 天前

1 天前创建

问题概述

gc_token 经 OAuth URL 拼入 remote 后 git remote set-url origin 持久写入 .git/config 且用后不还原，token 残留于 runner 磁盘。

序号	问题位置	证据说明
1	`index.js:167-173（dist/index.js:179 同步）`	https://oauth2😒{encodedToken}@ 拼入 remote URL 后 set-url；nightly-schedule-scan.yml:50 实际注入 secrets.ROBOT_TOKEN

改用 git credential helper 或 -c http.extraHeader 一次性传 token；若用 set-url，须在 finally 还原原 URL。