Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Fill password fields: from the Keychain by reference, or agent-supplied text with approval

Abierto
  • ¿Algo no está bien?
#117 1 comentario 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
5/5
Tiempo estimado
Más de una semana
Aptitud para principiantes
25/100
Tipo de issue
Nueva funcionalidad
Claridad
Bastante claro
Estado de actividad
Activo
Stack tecnológico
macos, swift
Área
authentication, desktop-dev, security

Línea de trabajo

Start with the live spike while the screen is unlocked: test typed input and AXValue against native NSSecureTextField and a Chrome password field, then test whether SecurityAgent accepts synthetic input. Also verify System Keychain Wi-Fi password access and identify a secure readback signal such as character count. Completion requires a decision on the Keychain-reference and approved-text fill routes, including URL-host matching, approval, logging restrictions, and explicit Touch Touch ID exclusion.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

enhancement

Decision (user, 2026-10-17). Closes #75's gap 2, which unblocks gaps 3 and 4.

Primary: fill from the Keychain by reference.

  • The agent names a Keychain item and never sees the secret.
  • The host reads the item with SecItemCopyMatching, so macOS's own Keychain prompt gates each item.
  • The host fills the item only into an AXSecureTextField in the snapshot. For an internet password, the field's web area URL host must match the item's server.

Fallback: agent-supplied text, with explicit approval.

  • The menu bar app shows a confirmation for each fill, naming the caller, the app and the site.
  • A setting, "Always allow agent-supplied passwords", skips that confirmation. It is off by default.

For both routes:

  • The caller must be approved under #24.
  • The secret is never logged, echoed in results, or kept in Recent Activity. Activity records only that a fill happened, with the caller and the target.
  • A fill is completed only on a readback that doesn't reveal the secret, such as the character count. Otherwise it is unknown.

Live spike first (the screen is unlocked now):

  • Does typed input or an AXValue set reach a secure field while secure keyboard entry is on? Test in a native NSSecureTextField and in a Chrome password input.
  • Does SecurityAgent (the admin prompt) accept synthetic input? Type a dummy value, then cancel. Never submit.
  • Are Wi-Fi passwords reachable, given they're in the System keychain?
  • What readback does a secure field expose?

Touch ID stays unsupported.

Lenguaje dominante
Swift
Estrellas
0
Forks
0
Merge medio
19 min
PR fusionados (30 d)
107

Preparar el entorno

Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de githubnext/desktop-tools

Todos los issues de githubnext/desktop-tools

Issues similares

Más issues de Swift

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.