Bug: conflicting auth sources silently prefer ?token= over Authorization header
@xyaz1313 已经在做这个了。
开始于 2026年4月14日。
评估
- 难度
- 4/5
- 预计耗时
- 3-5 天
- 新手友好度
- 15/100
- Issue 类型
- 缺陷
- 描述清晰度
- 基本清楚
- 活跃度
- 停滞
- 技术栈
- python
调研方向
Start by locating the middleware that reads the Authorization header and ?token= query parameter, then trace how it selects credentials. The issue does not name files or tests; first identify existing authentication tests and read the comments around the two open linked pull requests. Done means conflicting credentials follow a clearly chosen policy and the behavior is covered by tests.
由索引模型根据 Issue 内容生成。
描述
Summary
If both an Authorization header and a ?token= query parameter are provided, the middleware silently replaces the header with the query token. In production that can hide client misconfiguration and make debugging auth problems harder.
Reproduction
- Send a request with
Authorization: Bearer TOKEN_A. - Also append
?token=TOKEN_Bto the URL. - Observe that the request is executed with
TOKEN_Band the original header is discarded.
Expected
Either:
- reject conflicting auth sources with
400, or - preserve one source deterministically and emit a strong warning.
Actual
The query token silently wins.
Why it matters
This is a realistic integration mistake with browser-hosted clients, local proxies, and copied config snippets.
- 主要语言
- Python
- 星标
- 22
- 派生
- 4
- PR 合并指标
- 30 天内没有已合并 PR
环境准备
- 提供 Dockerfile 或 Docker Compose 文件
- 没有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
openapi/mcp-server 的其他 Issue
-
难度 2/5 1-3 小时 新手友好度 68/100
openapi/mcp-server#33 ·
-
难度 2/5 1-3 小时 新手友好度 65/100
openapi/mcp-server#29 ·
-
难度 1/5 1-3 小时 新手友好度 73/100
openapi/mcp-server#25 ·
-
Testing: add a host-agnostic smoke test checklist for OpenClaw, NanoClaw, and NemoClaw-style clients未关闭
难度 2/5 1-3 小时 新手友好度 72/100
openapi/mcp-server#24 ·
-
难度 1/5 1-3 小时 新手友好度 72/100
openapi/mcp-server#21 ·
查看 openapi/mcp-server 的全部 Issue
相似的 Issue
-
难度 1/5 1 小时以内 新手友好度 82/100
EchoTools/nevr-runtime#651 ·
维护者通常 1 天内回复
-
bug frontend rt sev-3
难度 2/5 1-3 小时 新手友好度 72/100
-
难度 2/5 1-3 小时 新手友好度 68/100
维护者通常 2 天内回复
-
难度 2/5 1-3 小时 新手友好度 65/100
noontide-co/mainbranch#1211 · 1 条评论 ·
维护者通常 1 天内回复
-
[1.x Bug] run-operation --sql reports success but rolls back writes on transaction-capable adapters未关闭triage
难度 2/5 1-3 小时 新手友好度 64/100
维护者通常 1 天内回复