fix(security): credential redaction in 0f8b000 misses JSON bodies access_token, refresh_token, clientSecret, and password print verbatim with --verbose

Abierto Apto para principiantes

#503 abierto el 17/8/2026 4 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad: 2/5
Tiempo estimado: 1-3 horas
Aptitud para principiantes: 88/100

Tipo de issue: Error
Claridad: Bien especificado
Estado de actividad: Activo
Stack tecnológico: go
Área: cli, security

Línea de trabajo

Comienza con redactSensitiveContent y los patrones existentes; después, ejecuta pkg/config/redact_probe_test.go mediante go test ./pkg/config/ -run TestRedactProbe -v. Comprueba los sitios de llamada indicados en keycloak_client.go:96 y microcks_client.go:371. La tarea está terminada cuando pasen las seis pruebas fallidas del probe y access_token, refresh_token, clientSecret y password ya no se muestren literalmente en la salida detallada.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

component/cli kind/bug

Problem

i added credential redaction to verbose HTTP dumps. It works for Authorization headers but misses both places where secrets actually appear.

Leak 1 Keycloak token response (keycloak_client.go:96)

The response body is JSON. The regex expects name=value (form encoding), so "access_token":"eyJ..." prints verbatim.

Leak 2 create-test request body (microcks_client.go:371)

OAuth2ClientContext is marshalled into the POST body. Fields clientSecret, password, and refreshToken aren't in the pattern at all.

The header redaction fires correctly, which is exactly what makes this easy to miss:

Authorization: [REDACTED]       ← works
{"oAuth2Context":{"clientSecret":"SECRET","password":"SECRET",...}}   ← leaks

Root Cause

// only matches name=value — never fires on JSON bodies
var sensitiveParamPattern = regexp.MustCompile(
    `(?i)(access_token|refresh_token|id_token|code)=([^&\s]+)`,
)

Apply it alongside the existing patterns in redactSensitiveContent.

Reproduce

Drop into pkg/config/redact_probe_test.go and run go test ./pkg/config/ -run TestRedactProbe -v — 6 FAILs, all confirmed against the real function.

Lenguaje dominante: Go
Estrellas: 52
Forks: 67
Merge medio: 1 d 1 h
PR fusionados (30 d): 13