Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Fill password fields: from the Keychain by reference, or agent-supplied text with approval

Aperta
  • Qualcosa non va?
#117 1 commento 0 reazioni 0 assegnatari Vedi su GitHub

I maintainer di solito rispondono entro 1 giorno

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
5/5
Tempo stimato
Più di una settimana
Idoneità per principianti
25/100
Tipo di issue
Funzionalità
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
macos, swift
Ambito
authentication, desktop-dev, security

Direzione di ricerca

Start with the live spike while the screen is unlocked: test typed input and AXValue against native NSSecureTextField and a Chrome password field, then test whether SecurityAgent accepts synthetic input. Also verify System Keychain Wi-Fi password access and identify a secure readback signal such as character count. Completion requires a decision on the Keychain-reference and approved-text fill routes, including URL-host matching, approval, logging restrictions, and explicit Touch Touch ID exclusion.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

enhancement

Decision (user, 2026-10-17). Closes #75's gap 2, which unblocks gaps 3 and 4.

Primary: fill from the Keychain by reference.

  • The agent names a Keychain item and never sees the secret.
  • The host reads the item with SecItemCopyMatching, so macOS's own Keychain prompt gates each item.
  • The host fills the item only into an AXSecureTextField in the snapshot. For an internet password, the field's web area URL host must match the item's server.

Fallback: agent-supplied text, with explicit approval.

  • The menu bar app shows a confirmation for each fill, naming the caller, the app and the site.
  • A setting, "Always allow agent-supplied passwords", skips that confirmation. It is off by default.

For both routes:

  • The caller must be approved under #24.
  • The secret is never logged, echoed in results, or kept in Recent Activity. Activity records only that a fill happened, with the caller and the target.
  • A fill is completed only on a readback that doesn't reveal the secret, such as the character count. Otherwise it is unknown.

Live spike first (the screen is unlocked now):

  • Does typed input or an AXValue set reach a secure field while secure keyboard entry is on? Test in a native NSSecureTextField and in a Chrome password input.
  • Does SecurityAgent (the admin prompt) accept synthetic input? Type a dummy value, then cancel. Never submit.
  • Are Wi-Fi passwords reachable, given they're in the System keychain?
  • What readback does a secure field expose?

Touch ID stays unsupported.

Lingua principale
Swift
Stelle
0
Fork
0
Merge medio
19m
PR unite (30g)
107

Preparare l'ambiente

Questo progetto non fornisce container di sviluppo, Dockerfile né guida per i contributori, quindi l'ambiente è a tuo carico: parti dal suo README e consulta la nostra guida al primo contributo per i passaggi generali.

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di githubnext/desktop-tools

Tutte le issue di githubnext/desktop-tools

Issue simili

Altre issue su Swift

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.