Content exclusion incorrectly blocks commands when a child process loads .env

Offen

#4,871 erstellt am 16.9.2026 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 4/5
Geschätzter Aufwand: 3-5 Tage
Anfängerfreundlichkeit: 55/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Aktiv
Tech-Stack: shell
Bereich: cli, security

Rechercherichtung

Beginne damit, den genehmigten Befehl mit der Organisationsregel zum Ausschluss von **/.env zu reproduzieren, wobei die im Issue beschriebene Python-Anwendung und load_dotenv() verwendet werden. Verfolge die Handhabung des Inhaltsausschlusses für untergeordnete Prozesse; abgeschlossen ist die Aufgabe, wenn die genehmigte Anwendung startet, während die Inhalte von .env für Copilot als Modellkontext nicht verfügbar bleiben.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

triage

Describe the bug

Our organization has the following content-exclusion policy:

"*":
  - "**/.env"

The policy should prevent Copilot from reading .env files or using their contents as model context.

However, Copilot CLI also blocks starting an application when the application itself loads .env during normal startup.

For example, our Python application uses load_dotenv() during startup. The application starts successfully when run directly in the terminal, but Copilot CLI refuses to continue when asked to run the same approved command.

The error shown is:

Access denied: "[REDACTED]/.env" is excluded by organization content policy. Do not attempt to access this file.

Copilot does not need to read .env, receive its contents, or include them in model context for the application to start.

Affected version

GitHub Copilot CLI 1.0.83

Steps to reproduce the behavior

Configure an organization content-exclusion rule for **/.env.
Create an application that loads .env internally during startup, for example using python-dotenv and load_dotenv().
Verify that the application starts successfully when run directly in a terminal.
Ask Copilot CLI to run the same startup command.
Approve the command.
Observe that Copilot CLI refuses to continue because .env is excluded.

Expected behavior

Copilot CLI should execute the approved command.

Content exclusion should prevent Copilot from reading or using .env contents as model context, but should not prevent an application from loading the file internally as runtime configuration.

Additional context

OS: macOS 26.6.2
Architecture: arm64
Shell: zsh

This began after content exclusions became generally available in Copilot App and CLI on September 2, 2026:
https://github.blog/changelog/2026-09-02-content-exclusions-generally-available-in-copilot-app-and-cli/

Vorherrschende Sprache: Shell
Sterne: 11.2k
Forks: 1.9k
Ø Merge: 14 Std. 16 Min.
Gemergte PRs (30 T.): 6

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus github/copilot-cli

Built-in skill `github-pr-media` cannot run: `gh auth token` is empty in a cloud agent session, and the endpoint rejects `Bearer` Offen

triage

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100

github/copilot-cli#4932 · Erstellt am 22.9.2026
/ide finds no workspaces under the CLI sandbox: kill(pid,0) EPERM misread as a dead process Offen

triage

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100

github/copilot-cli#4909 · Erstellt am 19.9.2026
MCP OAuth: DCR sends client_name "copilot-cli", rejected with 403 by Figma's allowlist (expects "GitHub Copilot CLI") Offen

triage

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100

github/copilot-cli#4906 · Erstellt am 18.9.2026
/feedback: “Save feedback bundle” is easily mistaken for submitting feedback Offen

triage

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

github/copilot-cli#4848 · Erstellt am 15.9.2026
Built-in research agent tells subagents to call unavailable github/get_me tool Offen

area:agents area:mcp

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100

github/copilot-cli#4729 · Erstellt am 04.9.2026

Alle Issues in github/copilot-cli