turbodocx-sdk skill: identityAssertion on non-external_idv recipients is rejected, not ignored
Valutazione
Questa issue non è ancora stata valutata.
Descrizione
What's wrong
The JavaScript and Go references say an identity assertion passed for an OTP, override, or no-verification recipient is ignored. The backend rejects it: createSigningUrl returns a 400 with type IdentityModeConflict ("An identity assertion is not valid for this recipient").
Evidence
skills/turbodocx-sdk/references/javascript.md:423: "OTP, override, and no-verification recipients ignore it."skills/turbodocx-sdk/references/go.md:496: same sentence.- RapidDocxBackend
src/handlers/TurboSign/createSigningUrl.ts:299-303throwsIdentityModeConflictwhenmode !== external_idv && params.identityAssertion. The code comment says this is deliberate: silently ignoring it would let an integrator believe the vendor check ran. Covered bycreateSigningUrl.test.ts:256and:668. - The Python, PHP, Java and Ruby references don't make this claim.
Impact
An agent following the skill may pass the same assertion for every recipient, thinking it's harmless, and every signing-URL mint for an OTP, override, or plain recipient then fails with a 400.
Suggested fix
In both files, replace the sentence with: "Pass it only for external_idv recipients. Sending it for an OTP, override, or no-verification recipient is rejected with a 400 IdentityModeConflict error." Optionally add the same line to the other four language references and an eval assertion.
Severity: S3. Found while auditing claims for the YouTube how-to series (external IdV video), verified against backend origin/master.
- Lingua principale
- Nessun dato sulla lingua
- Stelle
- 3
- Fork
- 0
- Merge medio
- 4g 22h
- PR unite (30g)
- 4
Preparare l'ambiente
Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di TurboDocx/quickstart
-
feat(turbodocx-sdk): send a template with signer rolesForse già presa @nicolasiscoding l’ha presa 4 giorni fa. Aperta
TurboDocx/quickstart#37 · 1 assegnatario ·
-
test(turbodocx-sdk): getRecipients has eval coverage for only 2 of 6 languagesForse già presa @nicolasiscoding l’ha presa 65 giorni fa. Aperta
TurboDocx/quickstart#19 · 1 commento · 1 assegnatario ·
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 72/100
TurboDocx/quickstart#13 ·