Rename `decode` function `unsafeDecode` to highlight the risk

オープン

#952 2023年12月22日に作成コメント 6 件リアクション 6 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 5/5
見積もり時間: 1週間以上
初心者へのやさしさ: 35/100

issue の種類: 機能追加
明瞭さ: おおむね明確
活発さ: 停滞
技術スタック: javascript, node.js
領域: security

調査の方向性

まず、JavaScript パッケージ内の公開されている decode と verify のエントリポイントを特定し、decode へのすべての参照を確認します。unsafeDecode の互換性と移行範囲を確認し、更新された呼び出し元とドキュメントを含む一貫した名前変更を完了の定義とします。

索引モデルが issue の本文から書いたものです。

説明

Describe the problem you'd like to have solved

I'm a DevSec. I help developers teams find and fix their vulnerabilities.
In two of my last missions, I've seen developers using decode instead of verify even if the documentation has been improved.

Describe the ideal solution

To avoid this and reduce the vulnerable apps, I think it would be great to rename the decode function and call it unsafeDecode. (as suggested by @youssef-jbili)

Other libraries have done it and it helps developers reduce their mistakes:

dangerouslySetInnerHTML for React
bypassSecurityTrustHtml for Angular

I can make a Pull Request if you think it is a good idea.

主要言語: JavaScript
スター: 18.2k
フォーク: 1.3k
PR マージ指標: 30日以内にマージされた PR はありません

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

auth0/node-jsonwebtoken のほかの issue

jwt.verify() returns numeric payload claims as strings オープン

難易度 2/5 1〜3時間初心者へのやさしさ 72/100

auth0/node-jsonwebtoken#1042 · コメント 1 件 · 2026年8月12日に作成
`jwt.sign()` callback is executed twice for "The payload already has an "..." property" errors オープン

難易度 2/5 1〜3時間初心者へのやさしさ 84/100

auth0/node-jsonwebtoken#1000 · コメント 2 件 · リアクション 1 件 · 2025年9月10日に作成
verify() resolves a string secret by attempting createPublicKey() first, costing 4x-52x on the HS* path オープン

難易度 4/5 3〜5日初心者へのやさしさ 65/100

auth0/node-jsonwebtoken#1046 · 2026年9月17日に作成
[Tool Share] cad-automation - Zero-cost CAD automation tool オープン

難易度 5/5 1週間以上初心者へのやさしさ 10/100

auth0/node-jsonwebtoken#1034 · 2026年6月14日に作成
jwt.verify accepts tokens with unrecognized `crit` header extensions (RFC 7515 §4.1.11) オープン

難易度 3/5 1〜2日初心者へのやさしさ 48/100

auth0/node-jsonwebtoken#1032 · 2026年5月27日に作成

auth0/node-jsonwebtoken の issue をすべて見る

似ている issue

Row-action modals break when core drops the kebabCase private API オープン

Bug

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

Automattic/safe-publish#594 · 2026年9月24日に作成
内部文件键（绝对路径的 base64）泄漏到界面标签オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

dream-num/dsh-univer-office#104 · 2026年9月24日に作成
Queue insertion button ("插入排队消息") missing in api_server sessions — canInsert allowlist only covers cli/global_agent オープン

comp/dashboard invalid P3

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

NousResearch/hermes-agent#121143 · 2026年9月24日に作成
Never show a hidden value in the data entry app オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

avniproject/avni-webapp#1811 · 2026年9月24日に作成
AuroraBoot: the dashboard's Reset options cancel the reset, because the agent refuses reset-oem and config オープン

area/auroraboot area/webui bug

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

kairos-io/kairos#4940 · コメント 1 件 · 2026年9月24日に作成

JavaScript の issue をもっと見る