Hacktoberfest 2026 : les issues que les mainteneurs ont marquées pour octobre, ouvertes et accessibles aux débutants. Parcourir les issues Hacktoberfest

Prove who completes an Arcade connection, not just which browser

Ouverte
  • Quelque chose ne va pas ?
#76 0 commentaires 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 9 jours

Personne n'a encore pris cette issue.

Évaluation

Difficulté
5/5
Temps estimé
Plus d'une semaine
Accessibilité débutants
25/100
Type d'issue
Fonctionnalité
Clarté
À clarifier
Activité
Active
Stack technique
python
Domaine
authentication, backend, security

Piste de recherche

Start with agent/arcade_tools/verify.py and the /arcade/start flow, then read AGENTS.md and the discussion in pull request #73. Evaluate the listed identity-provider options, including whether the Composio connect path needs the same treatment. Done means the verifier accepts a connection only when the signed-in identity matches the ticket's intended user.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

Follow-up from the #73 review (https://github.com/CopilotKit/OpenTag/pull/73#discussion_r4124028074).

Problem

The Arcade verifier (agent/arcade_tools/verify.py) proves that the browser finishing a connection is the browser that opened the link, using a session cookie set on /arcade/start. It does not prove that browser belongs to the person the link was minted for.

If person A forwards their connect link to person B and B signs in, B's account is bound to A's identity, and A can then use it through the agent (for example, read B's mail). Arcade's user verification exists to stop this kind of phishing.

The Composio connect path on main has the same property: its link binds whoever completes it to the user id it was minted for.

What #73 does today

/arcade/start shows a page naming who the link was made for and warning that continuing connects the signed-in account to that person, with the provider behind a Continue button. That makes a forwarded link visibly somebody else's. It is not proof of identity.

What a real fix needs

A sign-in on the start page that proves the browser's user is the person the link was minted for. Then the verifier confirms only when that identity matches the ticket's.

Open question: which identity provider? "Sign in with Slack" is the obvious fit, but it needs a Slack app client secret in this repository. AGENTS.md rules that out, because Intelligence owns the Slack app and no platform credential belongs here. Options to evaluate:

  • Intelligence providing a sign-in or identity assertion for a Channel's users.
  • A workspace IdP (Google or Microsoft) matched on the actor's email.
  • Doing the same for the Composio connect path.

Until then, the warning page is the mitigation.

Langage dominant
Python
Étoiles
1.3k
Forks
138
Merge moyen
5 j 6 h
PR mergées (30 j)
9

Préparer son environnement

Ce projet ne fournit ni conteneur de développement, ni Dockerfile, ni guide de contribution : l'installation est à votre charge. Commencez par son README, et consultez notre guide de la première contribution pour les étapes générales.

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de CopilotKit/OpenTag

Toutes les issues de CopilotKit/OpenTag

Issues similaires

Plus d'issues Python

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.