Bug: conflicting auth sources silently prefer ?token= over Authorization header
@xyaz1313 ya está trabajando en esto.
Desde el 14/4/2026.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 15/100
- Tipo de issue
- Error
- Claridad
- Bastante claro
- Estado de actividad
- Estancado
- Stack tecnológico
- python
Línea de trabajo
Start by locating the middleware that reads the Authorization header and ?token= query parameter, then trace how it selects credentials. The issue does not name files or tests; first identify existing authentication tests and read the comments around the two open linked pull requests. Done means conflicting credentials follow a clearly chosen policy and the behavior is covered by tests.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Summary
If both an Authorization header and a ?token= query parameter are provided, the middleware silently replaces the header with the query token. In production that can hide client misconfiguration and make debugging auth problems harder.
Reproduction
- Send a request with
Authorization: Bearer TOKEN_A. - Also append
?token=TOKEN_Bto the URL. - Observe that the request is executed with
TOKEN_Band the original header is discarded.
Expected
Either:
- reject conflicting auth sources with
400, or - preserve one source deterministically and emit a strong warning.
Actual
The query token silently wins.
Why it matters
This is a realistic integration mistake with browser-hosted clients, local proxies, and copied config snippets.
- Lenguaje dominante
- Python
- Estrellas
- 22
- Forks
- 4
- Métricas de merge de PR
- Sin PR fusionados en 30 d
Preparar el entorno
- Incluye un Dockerfile o un archivo de Docker Compose
- Sin plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de openapi/mcp-server
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
openapi/mcp-server#33 ·
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100
openapi/mcp-server#29 ·
-
Dificultad 1/5 1-3 horas Aptitud para principiantes 73/100
openapi/mcp-server#25 ·
-
Testing: add a host-agnostic smoke test checklist for OpenClaw, NanoClaw, and NemoClaw-style clientsAbierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
openapi/mcp-server#24 ·
-
Dificultad 1/5 1-3 horas Aptitud para principiantes 72/100
openapi/mcp-server#21 ·
Todos los issues de openapi/mcp-server
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 83/100
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 86/100
google-ai-edge/litert-torch#1346 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
geneontology/gocam-py#272 ·
-
pushed_authorization_request sends list authorization_details as a Python reprPosiblemente ocupada @RaphaelFakhri la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
auth0/auth0-python#903 ·
Los mantenedores suelen responder en 1 día