讯飞 WebSocket 失败日志不应输出完整认证 URL
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 2/5
- Tempo stimato
- 1-3 ore
- Idoneità per principianti
- 77/100
- Tipo di issue
- Bug
- Chiarezza
- Specificata chiaramente
- Stato di attività
- Attiva
- Stack tecnologico
- javascript
- Ambito
- security
Direzione di ricerca
Leggi xunfei/sdk.js, concentrandoti su getWebsocketUrl() e sul gestore onerror di connectWebSocket(). Verifica come il log dell’errore includa l’URL firmato, quindi modifica il log per evitare di esporne i parametri della query o i dati di autenticazione, mantenendo il messaggio di errore e il comportamento in caso di errore. Il lavoro è completato quando il percorso di errore non registra più l’URL completo né un oggetto di errore che lo contiene.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
用户影响：讯飞 WebSocket 失败分支会输出完整的已签名连接 URL，认证材料可能进入开发者控制台/被复制的诊断日志。这里只确认公开源码中的日志路径，没有使用真实凭据、连接付费服务或发现已发生的泄露。
归属：b-conf/hestory，基线 22c1512055b805bfe8a144ea0d3fad1a4465d388 的 xunfei/sdk.js；本轮未修改该文件。
getWebsocketUrl() 将 API key 与 HMAC 签名编码进 authorization，再放入 query；connectWebSocket() 的 onerror 又通过 encodeURI(url.replace('wss:', 'https:')) 输出整条地址。URI 编码不是脱敏，改成 https 也不会移除 query 中的认证材料。
建议错误日志只显示固定说明或已脱敏的 origin/path，不记录完整 query、authorization 或包含原连接地址的错误对象。保留原错误提示与失败传播，不需要为本项目增加编译器硬编码规则。
这是静态代码审阅确认的敏感日志风险；没有提交任何真实 key/签名/URL，也没有进行远端利用或语音请求。真实服务认证与日志接收链路仍需维护者独立审阅。
- Lingua principale
- Cirru
- Stelle
- 0
- Fork
- 1
- Merge medio
- 4h 55m
- PR unite (30g)
- 9
Preparare l'ambiente
Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di b-conf/hestory
Tutte le issue di b-conf/hestory
Issue simili
-
JSON-RPC errors quote the values of the request, and the relay logs the start of a refused frameAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
pollen-robotics/reachy_mini#1516 ·
I maintainer di solito rispondono entro 1 giorno
-
bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
I maintainer di solito rispondono entro 1 giorno
-
audit(c2): assert Dockerfile org.opencontainers.image.licenses labels against licence-manif (C2-16)Apertahygiene type:refactor
Difficoltà 2/5 Meno di un'ora Idoneità per principianti 78/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
dj-bolt/django-bolt#504 ·
I maintainer di solito rispondono entro 1 giorno
-
afk-ok area:frontend size:S
Difficoltà 2/5 1-3 ore Idoneità per principianti 87/100
enorm-labs/event-junkie#4154 ·
I maintainer di solito rispondono entro 1 giorno