Bug: conflicting auth sources silently prefer ?token= over Authorization header
@xyaz1313 ci sta già lavorando.
Dal 14/4/2026.
Valutazione
- Difficoltà
- 4/5
- Tempo stimato
- 3-5 giorni
- Idoneità per principianti
- 15/100
- Tipo di issue
- Bug
- Chiarezza
- Abbastanza chiara
- Stato di attività
- Ferma
- Stack tecnologico
- python
- Ambito
- authentication, backend-api-design
Direzione di ricerca
Start by locating the middleware that reads the Authorization header and ?token= query parameter, then trace how it selects credentials. The issue does not name files or tests; first identify existing authentication tests and read the comments around the two open linked pull requests. Done means conflicting credentials follow a clearly chosen policy and the behavior is covered by tests.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Summary
If both an Authorization header and a ?token= query parameter are provided, the middleware silently replaces the header with the query token. In production that can hide client misconfiguration and make debugging auth problems harder.
Reproduction
- Send a request with
Authorization: Bearer TOKEN_A. - Also append
?token=TOKEN_Bto the URL. - Observe that the request is executed with
TOKEN_Band the original header is discarded.
Expected
Either:
- reject conflicting auth sources with
400, or - preserve one source deterministically and emit a strong warning.
Actual
The query token silently wins.
Why it matters
This is a realistic integration mistake with browser-hosted clients, local proxies, and copied config snippets.
- Lingua principale
- Python
- Stelle
- 22
- Fork
- 4
- Metriche di merge delle PR
- Nessuna PR unita negli ultimi 30g
Preparare l'ambiente
- Include un Dockerfile o un file Docker Compose
- Nessun modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di openapi/mcp-server
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
openapi/mcp-server#33 ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
openapi/mcp-server#29 ·
-
Difficoltà 1/5 1-3 ore Idoneità per principianti 73/100
openapi/mcp-server#25 ·
-
Testing: add a host-agnostic smoke test checklist for OpenClaw, NanoClaw, and NemoClaw-style clientsAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
openapi/mcp-server#24 ·
-
Difficoltà 1/5 1-3 ore Idoneità per principianti 72/100
openapi/mcp-server#21 ·
Tutte le issue di openapi/mcp-server
Issue simili
-
bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
jbacalso24/mimry#291 ·
I maintainer di solito rispondono entro 1 giorno
-
good first issue
Difficoltà 2/5 Meno di un'ora Idoneità per principianti 82/100
eli-alvarado/us-watchlist-alerts#14 ·
I maintainer di solito rispondono entro 1 giorno
-
from-review-extraction python severity:nit
Difficoltà 2/5 1-3 ore Idoneità per principianti 80/100
LearningCircuit/local-deep-research#7462 ·
I maintainer di solito rispondono entro 2 giorni
-
mermaid_extract.py silently discards single-line state-diagram notes; sequence notes are keptAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
cathrynlavery/diagram-design#441 ·
I maintainer di solito rispondono entro 2 giorni
-
[Cleanup] Include the public header in work_split.cppForse già presa @blozano-tt l’ha presa oggi. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
tenstorrent/tt-metal#60850 ·
I maintainer di solito rispondono entro 1 giorno