fix(security): 凭证扫描放行依赖注入传参 + 四仓口径更正

Browse Source

`api_key=volcengine.api_key` 这类**依赖注入传参**被 KEY-ASSIGN 判为疑似凭证。
这是规则的真缺口而非代码问题：行里没有任何秘密，而做 DI 的代码到处都是这种
写法——绕过一次就得在每个调用点绕过，那等于把规则废掉。故改规则。

新增 ALLOW_REFERENCE，刻意收得很紧以免开后门：
- 值必须是**未加引号**的小写起首标识符引用（真密钥要么带引号，要么不是标识符形状）
- 只允许**恰好一个点且随即行尾**
- 连字符不在字符集内

对抗性夹具验证（三真三假）：
- 拦下 `api_key = "sk-T3Blbk…"`（OpenAI 形态）
- 拦下 `secret_key: "AKID…"`（腾讯云形态）
- 拦下 `auth_token=eyJ….eyJ….Sfl…`（**三段式 JWT——两个点，故不落进放行**）
- 放行 `api_key=lowercase.reference` / `api_key = settings.api_key` / `api_token: config.authToken`
原 5 形态泄漏夹具复验仍 8 条命中，一条不少。

另更正口径：脚本头与 git-workflow.md 仍写「三仓同构」，实际已是四仓——
patbond-ai 是唯一持有 AI 服务商凭证的仓，漏同步它风险最大。四仓 md5 已一致
（4945940093b4b8413b7d3eec8bf6a5ec），四仓 --all 全绿。

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

...

This commit is contained in:

Lixi20

2026-09-20 12:18:18 +08:00

parent c6e8dddc8d

commit 4762358f54

24 changed files with 1953 additions and 775 deletions

Show all changes Ignore whitespace when comparing lines Ignore changes in amount of whitespace Ignore changes in whitespace at EOL

Download Patch File Download Diff File Expand all files Collapse all files

app/providers/volcengine/__init__.py