From c8e59a54dde5502f6bc18f9b3dc213e1f13844fe Mon Sep 17 00:00:00 2001 From: Haitao Pan Date: Mon, 29 Jun 2026 09:48:49 +0800 Subject: [PATCH 1/3] fix(assistant): keep manual bridge usable when signed out of svc.plus MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit The gateway connection resolver short-circuited to "请先登录 svc.plus" whenever the account was signed out, before checking whether a manual bridge was configured or whether capability discovery was still running. A saved manual bridge could therefore never be used while signed out. - Only emit the signed-out prompt when neither an account session nor a manual bridge is configured (`!accountSignedIn && !bridgeConfigured`). - Gate the sync-blocked branch on `accountSignedIn` so it no longer hijacks the manual-bridge discovery path. Adds tests covering manual-bridge discovery and discovery-failure while signed out. See docs/cases/manual-bridge-login-state/README.md. Co-Authored-By: Claude Opus 4.8 --- docs/cases/README.md | 1 + .../cases/manual-bridge-login-state/README.md | 168 ++++++++++++++++++ ...pp_controller_desktop_thread_sessions.dart | 4 +- .../assistant_connection_status_test.dart | 39 ++++ 4 files changed, 210 insertions(+), 2 deletions(-) create mode 100644 docs/cases/manual-bridge-login-state/README.md diff --git a/docs/cases/README.md b/docs/cases/README.md index 90714b75..2f3cd1d9 100644 --- a/docs/cases/README.md +++ b/docs/cases/README.md @@ -6,6 +6,7 @@ - [核心功能集成测试手动 Case](./core-integration-manual-cases.md) - [云端账号与 XWorkmate Bridge 连接手动 Case](./cloud-account-and-bridge-manual-cases.md) +- [手动 Bridge 登录状态误判 Case](./manual-bridge-login-state/README.md) - [云原生 Service Mesh 网络科普视频调研场景测试用例](./service-mesh-evolution-video-scenario/README.md) - [OpenClaw Gateway 5 并发 E2E 回归场景](./openclaw-gateway-e2e-regression/README.md) diff --git a/docs/cases/manual-bridge-login-state/README.md b/docs/cases/manual-bridge-login-state/README.md new file mode 100644 index 00000000..da83cde1 --- /dev/null +++ b/docs/cases/manual-bridge-login-state/README.md @@ -0,0 +1,168 @@ +# 手动 Bridge 登录状态误判 Case + +## 目标 + +验证用户未登录 `svc.plus`、但已经保存有效手动 Bridge 配置时，任务线程应使用手动 Bridge，不应显示“请先登录 svc.plus”或因此阻止发送消息。 + +## 当前状态 + +- 状态：已定位并完成最小修复，待设计评估和 UI 手动验收。 +- 影响范围：桌面端任务线程连接状态、顶部连接标签、发送消息前的连接守卫。 +- 不涉及：账号登录协议、Token 存储格式、Bridge ACP 请求协议。 + +## 问题现象 + +1. 在 `Settings -> Integrations` 选择“手动 Bridge”。 +2. 填写 Bridge URL 和 Token 并保存。 +3. 设置页显示“手动 Bridge / 已保存”。 +4. 返回任务线程后，顶部仍显示“已退出登录 · 请先登录 svc.plus”。 +5. 发送消息时同样被“请先登录 svc.plus”拦截。 + +## 根因 + +`resolveGatewayThreadConnectionStateInternal()` 原先在判断手动 Bridge 是否已配置、是否正在发现能力之前，先检查 `accountSignedIn`： + +```dart +if (!accountSignedIn) { + return signedOut; +} +``` + +因此在下面这个合法状态中，账号分支错误覆盖了 Bridge 分支： + +```text +accountSignedIn = false +bridgeConfigured = true +bridgeReady = false +``` + +手动 Bridge 与 `svc.plus` 托管账号是两种独立连接来源。只有没有任何可用 Bridge 配置时，未登录账号才应产生 `请先登录 svc.plus` 提示。 + +## 相关调用链 + +```text +任务线程状态 / 发送消息 + -> assistantConnectionStateForSession() + -> isBridgeAcpRuntimeConfiguredInternal() + -> bridgeCapabilityReadyForExecutionTargetInternal() + -> resolveGatewayThreadConnectionStateInternal() + -> 已连接 / 正在发现 / 连接失败 / 请先登录 +``` + +关键代码： + +| 文件 | 函数 | 职责 | +| --- | --- | --- | +| `lib/app/app_controller_desktop_thread_sessions.dart` | `assistantConnectionStateForSession()` | 汇总账号、Bridge 配置和 capability 状态。 | +| `lib/app/app_controller_desktop_thread_sessions.dart` | `resolveGatewayThreadConnectionStateInternal()` | 生成任务线程最终连接状态和 UI 文案。 | +| `lib/app/app_controller_desktop_runtime_helpers.dart` | `resolveBridgeAcpEndpointInternal()` | 在托管和手动配置之间解析 Bridge Endpoint。 | +| `lib/app/app_controller_desktop_runtime_helpers.dart` | `isBridgeAcpRuntimeConfiguredInternal()` | 判断当前是否存在可运行的 Bridge 配置。 | +| `lib/app/app_controller_desktop_thread_actions.dart` | `dispatchGatewayChatTurnInternal()` | 发送前刷新 capability，并按连接状态决定是否拦截。 | +| `lib/runtime/runtime_controllers_settings_account_impl.dart` | `resolveAcpBridgeServerEffectiveConfigInternal()` | 解析当前有效配置来源：cloud、bridge 或 default。 | +| `lib/runtime/runtime_controllers_settings_account_impl.dart` | `buildSavedAccountProfileSettingsInternal()` | 校验并保存手动 Bridge URL 和 Token 引用。 | + +## 当前最小修复 + +连接状态决策调整为： + +```dart +if (!accountSignedIn && !bridgeConfigured) { + return signedOut; +} +``` + +账号同步错误只在确实存在账号会话时参与状态决策： + +```dart +if (accountSignedIn && (tokenMissing || failed || blocked)) { + return accountSyncError; +} +``` + +预期状态矩阵： + +| 账号登录 | Bridge 配置 | Bridge Ready | 预期状态 | +| --- | --- | --- | --- | +| 否 | 否 | 否 | `已退出登录 / 请先登录 svc.plus` | +| 否 | 手动 | 否，尚未发现 | `正在发现 / 正在加载 Bridge 能力...` | +| 否 | 手动 | 否，发现失败 | 显示实际 Bridge capability/连接错误 | +| 否 | 手动 | 是 | `已连接 / <手动 Bridge Host>` | +| 是 | 托管 | 否，Token 缺失 | `缺少令牌 / xworkmate-bridge 授权不可用` | +| 是 | 托管 | 是 | `已连接 / xworkmate-bridge.svc.plus` | + +## 自动化覆盖 + +测试文件：`test/features/assistant/assistant_connection_status_test.dart` + +新增覆盖： + +- `manual bridge discovery does not require a svc.plus account session` +- `manual bridge discovery failure is shown while signed out` + +同时保留原有覆盖，确认没有 Bridge 配置且未登录时仍提示登录。 + +已执行： + +```bash +flutter test \ + test/features/assistant/assistant_connection_status_test.dart \ + test/runtime/assistant_connection_state_test.dart \ + test/runtime/assistant_execution_target_test.dart +``` + +结果：`101` 个测试全部通过。 + +## 手动验收 + +### `MANUAL-BRIDGE-LOGIN-001` 未登录账号使用本地 Bridge + +前置条件： + +- 退出 `svc.plus` 账号。 +- 本地 Bridge 正常运行。 +- 准备有效的测试 Token，文档中不记录明文。 + +步骤： + +1. 打开 `Settings -> Integrations -> 手动 Bridge`。 +2. 输入 `http://127.0.0.1:` 和有效 Token。 +3. 保存并返回任务线程。 +4. 等待 capability 刷新完成。 +5. 选择 Gateway/OpenClaw 并发送一条简单消息。 + +验收标准： + +- 不显示“请先登录 svc.plus”。 +- capability 刷新期间显示“正在加载 Bridge 能力...”。 +- Bridge 可用时显示已连接，并允许发送消息。 +- Bridge 不可用时显示真实连接错误，不退化为账号登录提示。 + +### `MANUAL-BRIDGE-LOGIN-002` 未配置 Bridge 且未登录 + +1. 退出账号并清除手动 Bridge 配置。 +2. 返回任务线程并尝试发送消息。 + +验收标准： + +- 继续显示“已退出登录 / 请先登录 svc.plus”。 +- 不尝试向默认托管 Bridge 发送未授权请求。 + +### `MANUAL-BRIDGE-LOGIN-003` 托管账号回归 + +1. 清除手动 Bridge 配置。 +2. 登录 `svc.plus` 并完成托管配置同步。 +3. 返回任务线程并发送消息。 + +验收标准： + +- 托管 Bridge Ready 时正常连接。 +- Token 缺失或同步 blocked 时继续显示专用账号同步错误。 + +## 待设计评估 + +1. 是否引入明确的连接来源枚举，例如 `managedCloud`、`manualBridge`、`environment`、`none`，避免通过多个布尔值间接推断。 +2. 账号退出后 `AccountSyncState` 是否可能残留，以及是否应在状态模型层主动清除。 +3. 手动 Bridge 和托管 Bridge 同时有效时，当前“托管优先”是否符合产品预期。 +4. UI 状态和发送守卫是否应统一依赖单一 `BridgeConnectionState`，避免状态分叉。 +5. 是否增加完整集成测试：保存手动 Bridge -> 未登录账号 -> capability 刷新 -> 成功发送消息。 + diff --git a/lib/app/app_controller_desktop_thread_sessions.dart b/lib/app/app_controller_desktop_thread_sessions.dart index fc7b1437..d426ad7a 100644 --- a/lib/app/app_controller_desktop_thread_sessions.dart +++ b/lib/app/app_controller_desktop_thread_sessions.dart @@ -73,7 +73,7 @@ AssistantThreadConnectionState resolveGatewayThreadConnectionStateInternal({ ); } - if (!accountSignedIn) { + if (!accountSignedIn && !bridgeConfigured) { return AssistantThreadConnectionState( executionTarget: target, status: RuntimeConnectionStatus.offline, @@ -93,7 +93,7 @@ AssistantThreadConnectionState resolveGatewayThreadConnectionStateInternal({ final failed = blocked && !tokenMissing && !endpointMissing; // SyncBlocked logic - if (tokenMissing || failed || blocked) { + if (accountSignedIn && (tokenMissing || failed || blocked)) { final status = RuntimeConnectionStatus.error; final primaryLabel = tokenMissing ? appText('缺少令牌', 'Missing Token') diff --git a/test/features/assistant/assistant_connection_status_test.dart b/test/features/assistant/assistant_connection_status_test.dart index 80261dc5..ac26168f 100644 --- a/test/features/assistant/assistant_connection_status_test.dart +++ b/test/features/assistant/assistant_connection_status_test.dart @@ -128,6 +128,45 @@ void main() { expect(state.gatewayTokenMissing, isFalse); }); + test( + 'manual bridge discovery does not require a svc.plus account session', + () { + final state = resolveGatewayThreadConnectionStateInternal( + target: AssistantExecutionTarget.gateway, + bridgeReady: false, + bridgeLabel: 'private-bridge.example.com', + accountSyncState: null, + accountSignedIn: false, + bridgeConfigured: true, + ); + + expect(state.connected, isFalse); + expect(state.status, RuntimeConnectionStatus.offline); + expect(state.primaryLabel, '正在发现'); + expect(state.detailLabel, '正在加载 Bridge 能力...'); + expect(state.detailLabel, isNot(contains('svc.plus'))); + }, + ); + + test('manual bridge discovery failure is shown while signed out', () { + final state = resolveGatewayThreadConnectionStateInternal( + target: AssistantExecutionTarget.gateway, + bridgeReady: false, + bridgeLabel: 'private-bridge.example.com', + accountSyncState: null, + accountSignedIn: false, + bridgeConfigured: true, + bridgeDiscoveryAttempted: true, + bridgeDiscoveryError: 'ACP_HTTP_CONNECT_FAILED', + providerCatalogEmpty: true, + ); + + expect(state.status, RuntimeConnectionStatus.error); + expect(state.primaryLabel, '连接失败'); + expect(state.detailLabel, 'ACP_HTTP_CONNECT_FAILED'); + expect(state.detailLabel, isNot(contains('svc.plus'))); + }); + test('surfaces failed discovery after capability refresh is attempted', () { final state = resolveGatewayThreadConnectionStateInternal( target: AssistantExecutionTarget.gateway, From 7fa9018d5304f6422fb23d7a7133253589d23b3d Mon Sep 17 00:00:00 2001 From: Haitao Pan Date: Mon, 29 Jun 2026 09:48:49 +0800 Subject: [PATCH 2/3] security(docs): remove plaintext review credentials, inject from .env The svc.plus review password and the two bridge tokens were committed in plaintext across the manual case / API test docs. Replace every value with a `.env` / secret-store reference and add a tracked .env.example template. Harden .gitignore (.env.*, *.local.env, secrets.env) while keeping !.env.example. Note: git history was rewritten separately to purge the leaked values; the credentials must be rotated regardless. Co-Authored-By: Claude Opus 4.8 --- .env.example | 15 ++++++++++ .gitignore | 5 ++++ .../cloud-account-and-bridge-manual-cases.md | 29 ++++++++++--------- docs/testing/api-script-runbook.md | 15 +++++++--- .../app-external-service-api-test-matrix.md | 4 +-- 5 files changed, 48 insertions(+), 20 deletions(-) create mode 100644 .env.example diff --git a/.env.example b/.env.example new file mode 100644 index 00000000..0b88a537 --- /dev/null +++ b/.env.example @@ -0,0 +1,15 @@ +# 评审 / 测试凭据模板 —— 复制为本地 `.env`（已被 .gitignore 忽略）后填入真实值。 +# 切勿把真实密码 / Token 写进任何被 git 跟踪的文件、日志或截图。 +# 用法：set -a; source .env; set +a + +# --- svc.plus 只读评审账号 --- +REVIEW_ACCOUNT_BASE_URL=https://accounts.svc.plus +REVIEW_ACCOUNT_LOGIN_EMAIL=review@svc.plus +REVIEW_ACCOUNT_LOGIN_PASSWORD= + +# --- xworkmate-bridge --- +BRIDGE_SERVER_URL=https://xworkmate-bridge.svc.plus +# 组合 1：标准 bridge token +BRIDGE_AUTH_TOKEN= +# 组合 2：评审专用 bridge token +BRIDGE_REVIEW_AUTH_TOKEN= diff --git a/.gitignore b/.gitignore index cd04c7cb..2177ba3e 100644 --- a/.gitignore +++ b/.gitignore @@ -1,5 +1,10 @@ # Miscellaneous +# Secrets / local env — never commit real credentials. .env.example is the tracked template. .env +.env.* +!.env.example +*.local.env +secrets.env .playwright-mcp/ *.py null/ diff --git a/docs/cases/cloud-account-and-bridge-manual-cases.md b/docs/cases/cloud-account-and-bridge-manual-cases.md index f211b62a..8aa420b6 100644 --- a/docs/cases/cloud-account-and-bridge-manual-cases.md +++ b/docs/cases/cloud-account-and-bridge-manual-cases.md @@ -4,6 +4,10 @@ ## 1. 测试账号与连接参数 +> **凭据注入约定（必读）**：本文档**不保存任何明文密码或 Token**。所有 secret 从本地 `.env` +> （已 gitignore）或 secret store 注入，变量名见仓库根目录 `.env.example`。执行用例前先 +> `set -a; source .env; set +a`，下表只记录变量名与非敏感的端点信息。 + ### 1.1 云端账号 | 项目 | 内容 | @@ -11,32 +15,28 @@ | 账号类型 | 只读评审账号（Apple 审核专用） | | 服务地址 | `https://accounts.svc.plus` | | 邮箱 / 账号 | `review@svc.plus` | -| 密码 | 参考 vault.svc.plus kv/data/accounts.svc.plus/REVIEW_ACCOUNT_LOGIN_PASSWORD | - +| 密码 | 见 `.env`：`$REVIEW_ACCOUNT_LOGIN_PASSWORD`（勿写明文） | ### 1.2 公网 xworkmate-bridge 组合 1 | 环境变量 | 值 | |----------|----| | `BRIDGE_SERVER_URL` | `https://xworkmate-bridge.svc.plus` | -| `BRIDGE_AUTH_TOKEN` | `参考 vault.svc.plus kv/data/accounts.svc.plus/INTERNAL_SERVICE_TOKEN` | - +| `BRIDGE_AUTH_TOKEN` | 见 `.env`：`$BRIDGE_AUTH_TOKEN`（勿写明文） | ### 1.3 公网 xworkmate-bridge 组合 2 | 环境变量 | 值 | |----------|----| | `BRIDGE_SERVER_URL` | `https://xworkmate-bridge.svc.plus` | -| `BRIDGE_REVIEW_AUTH_TOKEN` | `参考 vault.svc.plus kv/data/accounts.svc.plus/BRIDGE_REVIEW_AUTH_TOKEN` | - +| `BRIDGE_REVIEW_AUTH_TOKEN` | 见 `.env`：`$BRIDGE_REVIEW_AUTH_TOKEN`（勿写明文） | ### 1.4 本地 xworkmate-bridge | 环境变量 | 值 | |----------|----| | `BRIDGE_SERVER_URL` | `http://127.0.0.1:8787` | -| `BRIDGE_AUTH_TOKEN` | `cat ~/.ai_workspace_auth_token` | - +| `BRIDGE_AUTH_TOKEN` | 见 `.env`：`$BRIDGE_AUTH_TOKEN`（勿写明文） | --- @@ -189,7 +189,7 @@ 2. 切换到 `svc.plus 云端同步` 3. 在 `服务地址` 输入 `https://accounts.svc.plus` 4. 在 `邮箱或账号` 输入 `review@svc.plus` - 5. 在 `密码` 输入 `只读评审账号密码` + 5. 在 `密码` 输入 `$REVIEW_ACCOUNT_LOGIN_PASSWORD`（从 `.env` 读取，勿写明文） 6. 点击 `登录` 7. 等待账号同步完成 - 期望结果 @@ -212,7 +212,7 @@ 1. 在设置页退出当前账号 2. 关闭或返回设置页 3. 再次进入 `Settings -> Integrations -> svc.plus 云端同步` - 4. 使用 `review@svc.plus` / `只读评审账号密码` 重新登录 + 4. 使用 `review@svc.plus` / `$REVIEW_ACCOUNT_LOGIN_PASSWORD`（从 `.env` 读取）重新登录 5. 观察同步状态与本地配置状态 - 期望结果 - 退出后不会继续显示已登录状态 @@ -260,7 +260,7 @@ 1. 打开 `Settings -> Integrations` 2. 切换到 `AI 智能体工作空间` 3. 在 `Bridge 地址` 输入 `https://xworkmate-bridge.svc.plus` - 4. 在 `鉴权令牌 (TOKEN)` 输入 `对应 BRIDGE_AUTH_TOKEN` + 4. 在 `鉴权令牌 (TOKEN)` 输入 `$BRIDGE_AUTH_TOKEN`（从 `.env` 读取，勿写明文） 5. 点击 `保存配置` 6. 重新进入设置页确认配置仍然存在 7. 发起一次需要 AI 智能体工作空间的任务，确认可建立连接 @@ -284,7 +284,7 @@ - 操作步骤 1. 打开 `Settings -> Integrations -> AI 智能体工作空间` 2. 在 `Bridge 地址` 输入 `https://xworkmate-bridge.svc.plus` - 3. 在 `鉴权令牌 (TOKEN)` 输入 `BRIDGE_REVIEW_AUTH_TOKEN` + 3. 在 `鉴权令牌 (TOKEN)` 输入 `$BRIDGE_REVIEW_AUTH_TOKEN`（从 `.env` 读取，勿写明文） 4. 点击 `保存配置` 5. 重新进入设置页确认配置稳定 6. 发起一次 AI 智能体工作空间任务 @@ -357,7 +357,7 @@ - 操作步骤 1. 打开 `Settings -> Integrations -> AI 智能体工作空间` 2. 在 `Bridge 地址` 输入 `http://127.0.0.1:8787` - 3. 在 `鉴权令牌 (TOKEN)` 输入 `BRIDGE_AUTH_TOKEN` + 3. 在 `鉴权令牌 (TOKEN)` 输入 `$BRIDGE_AUTH_TOKEN`（从 `.env` 读取，勿写明文） 4. 点击 `保存配置` 5. 发起一次 AI 智能体工作空间任务 6. 对照本地 bridge 日志确认请求到达 @@ -490,4 +490,5 @@ | 公网 bridge 组合 2 | ✅ | ✅ | ✅ | ✅ | ✅ | | 本地 bridge | ✅ | ✅ | ✅ | ✅ | ✅ | -> 注意：以上 token 为评审 / 测试用途。执行测试时不得将 token 明文贴入公开 issue、公开日志或截图备注。 +> 注意：以上密码 / token 均为评审 / 测试用途，仅从 `.env`（已 gitignore）或 secret store 注入， +> **禁止**明文写入本文档、git 历史、公开 issue、公开日志或截图备注。一旦发生明文泄漏，先**轮换凭据**，再清理。 diff --git a/docs/testing/api-script-runbook.md b/docs/testing/api-script-runbook.md index 16b85287..7242f92c 100644 --- a/docs/testing/api-script-runbook.md +++ b/docs/testing/api-script-runbook.md @@ -34,11 +34,18 @@ Last Updated: 2026-04-22 - 可选 `BRIDGE_SERVER_URLS`，用于接口脚本同时验证多个 bridge host - 可选 `REVIEW_ACCOUNT_BASE_URL` -推荐直接在命令前临时注入： +凭据从本地 `.env`（已 gitignore）或 secret store 注入，**不要把明文密码/Token 写进文档或命令历史**。先准备 `.env`（参考仓库根目录 `.env.example`），再 `source` 后运行： ```bash -REVIEW_ACCOUNT_LOGIN_PASSWORD='***REMOVED-CREDENTIAL***' \ -BRIDGE_AUTH_TOKEN='' \ +set -a; source .env; set +a # 载入 REVIEW_ACCOUNT_LOGIN_PASSWORD / BRIDGE_AUTH_TOKEN 等 +bash scripts/ci/verify_api_interface_contract.sh +``` + +如需单条命令显式注入，使用变量引用而非明文： + +```bash +REVIEW_ACCOUNT_LOGIN_PASSWORD="$REVIEW_ACCOUNT_LOGIN_PASSWORD" \ +BRIDGE_AUTH_TOKEN="$BRIDGE_AUTH_TOKEN" \ BRIDGE_SERVER_URL='https://xworkmate-bridge.svc.plus' \ bash scripts/ci/verify_api_interface_contract.sh ``` @@ -46,7 +53,7 @@ bash scripts/ci/verify_api_interface_contract.sh 双入口验证示例： ```bash -REVIEW_ACCOUNT_LOGIN_PASSWORD='***REMOVED-CREDENTIAL***' \ +REVIEW_ACCOUNT_LOGIN_PASSWORD="$REVIEW_ACCOUNT_LOGIN_PASSWORD" \ BRIDGE_SERVER_URLS='https://xworkmate-bridge.svc.plus,https://cn-xworkmate-bridge.svc.plus' \ bash scripts/ci/verify_api_interface_contract.sh ``` diff --git a/docs/testing/app-external-service-api-test-matrix.md b/docs/testing/app-external-service-api-test-matrix.md index 1096c04e..4af6eb14 100644 --- a/docs/testing/app-external-service-api-test-matrix.md +++ b/docs/testing/app-external-service-api-test-matrix.md @@ -53,7 +53,7 @@ Last Updated: 2026-04-22 - `url`: `https://accounts.svc.plus` - `login_name`: `review@svc.plus` -- `login_password`: `***REMOVED-CREDENTIAL***` +- `login_password`: 从 `.env` / secret store 注入 `REVIEW_ACCOUNT_LOGIN_PASSWORD`（勿写明文） ### 2.3 鉴权规则 @@ -98,7 +98,7 @@ Last Updated: 2026-04-22 ```json { "identifier": "review@svc.plus", - "password": "***REMOVED-CREDENTIAL***" + "password": "${REVIEW_ACCOUNT_LOGIN_PASSWORD}" } ``` From 03c2bd52ebc17ed54f19241923745af2cd139fc5 Mon Sep 17 00:00:00 2001 From: Haitao Pan Date: Mon, 29 Jun 2026 09:51:52 +0800 Subject: [PATCH 3/3] chore(security): add gitleaks config allowlisting vendored/test fixtures Suppress false positives so `gitleaks detect` is clean: - third_party/* (cargokit ships a public binary-verification key) - workspace_management_unit_test.dart (obfuscated "token" fixture) - gatewayruntime/runtime_test.go (hardcoded "device-1" test key pair) Real leaked secrets are purged from history, not allowlisted. Co-Authored-By: Claude Opus 4.8 --- .gitleaks.toml | 26 ++++++++++++++++++++++++++ 1 file changed, 26 insertions(+) create mode 100644 .gitleaks.toml diff --git a/.gitleaks.toml b/.gitleaks.toml new file mode 100644 index 00000000..6ede5aaa --- /dev/null +++ b/.gitleaks.toml @@ -0,0 +1,26 @@ +# gitleaks config for xworkmate-app +# Keeps all default rules, and allowlists known non-secret findings: +# - vendored third-party code (cargokit ships a *public* verification key) +# - unit-test fixtures (hardcoded "device-1" / "token" test vectors) +# Real leaked credentials are NOT allowlisted here — they are purged from +# history and rotated. + +title = "xworkmate-app gitleaks config" + +[extend] +useDefault = true + +[allowlist] +description = "Vendored third-party code and unit-test fixtures (no real secrets)" +paths = [ + # cargokit (super_native_extensions) ships a public binary-verification key + '''third_party/.*''', + # Dart unit-test fixtures: obfuscated "token" / fake TF password assertions + '''test/features/workspace_management/workspace_management_unit_test\.dart''', + # Go unit-test fixtures: hardcoded "device-1" identity key pair + '''go/go_core/internal/gatewayruntime/runtime_test\.go''', +] +regexes = [ + # cargokit public key value, in case it is referenced outside third_party/ + '''test-public-key-hex''', +]