 lixi
|
3f3a5cc50b
|
fix(security): 凭证扫描放行依赖注入传参 + 四仓口径更正
CI / docs-build (push) Successful in 1m29s
`api_key=volcengine.api_key` 这类**依赖注入传参**被 KEY-ASSIGN 判为疑似凭证。
这是规则的真缺口而非代码问题：行里没有任何秘密，而做 DI 的代码到处都是这种
写法——绕过一次就得在每个调用点绕过，那等于把规则废掉。故改规则。
新增 ALLOW_REFERENCE，刻意收得很紧以免开后门：
- 值必须是**未加引号**的小写起首标识符引用（真密钥要么带引号，要么不是标识符形状）
- 只允许**恰好一个点且随即行尾**
- 连字符不在字符集内
对抗性夹具验证（三真三假）：
- 拦下 `api_key = "sk-T3Blbk…"`（OpenAI 形态）
- 拦下 `secret_key: "AKID…"`（腾讯云形态）
- 拦下 `auth_token=eyJ….eyJ….Sfl…`（**三段式 JWT——两个点，故不落进放行**）
- 放行 `api_key=lowercase.reference` / `api_key = settings.api_key` / `api_token: config.authToken`
原 5 形态泄漏夹具复验仍 8 条命中，一条不少。
另更正口径：脚本头与 git-workflow.md 仍写「三仓同构」，实际已是四仓——
patbond-ai 是唯一持有 AI 服务商凭证的仓，漏同步它风险最大。四仓 md5 已一致
（4945940093b4b8413b7d3eec8bf6a5ec），四仓 --all 全绿。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
|
2026-09-20 12:18:19 +08:00 |
|
|
lixi
|
8f97e34900
|
fix(security): 凭证扫描补 AI 服务商密钥形态与 api_key 赋值（ADR-021）
CI / docs-build (push) Successful in 47s
M4 将引入 AI 服务商凭证，而现行规则表对其完全不覆盖。夹具实测：
5 种真实形态（ANTHROPIC_API_KEY=sk-ant-…、OPENAI_API_KEY=sk-proj-…、
openai_api_key: "sk-…"、api_key = "…"、api-token: "…"）修复前全部
漏网退出 0，修复后全部拦下。
- 新增 AK-ANTHROPIC（sk-ant-）、AK-OPENAI（sk- / sk-proj- / sk-svcacct-）
- KEY-ASSIGN 扩至 api[-_]?(key|secret|token) 与 auth[-_]?token
（原模式只认 access_key / secret_key 两族）
- ALLOW 补 x{3,}：使「讲解规则的文档」不被规则自身拦下
- git-workflow.md 覆盖面概述同步（细节仍以脚本规则表为唯一来源）
验证：占位夹具仍放行；三仓 --all 全绿零误报；三仓副本 md5 同构
640994c12bfa78b4512e872d709ed685；mkdocs --strict exit 0。
依据 iteration-4/08 §漏检清单（决策 G），须先于任何 AI key 落地。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
|
2026-09-14 15:57:05 +08:00 |
|
|
lixi
|
8e1fe2f754
|
chore: 凭证防泄漏检查落地——脚本入库、CI 兜底 step、规范页启用说明（ADR-021）
CI / docs-build (push) Successful in 44s
- 新增 scripts/check-secrets.sh 与 scripts/hooks/pre-commit（与 api/flutter 同构，规则单一来源）
- ci.yml 在 checkout 后新增 Secret scan step；mkdocs build --strict 通过
- git-workflow.md 新增「凭证防泄漏检查」节：两层机制、启用命令、允许清单边界、真凭证轮换优先原则
- 验收：全仓 74 个已跟踪文件扫描零误报
Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
|
2026-09-08 16:28:04 +08:00 |
|