ISEP#47: 補齊 8 支 Python 也從 env/.env 取 token，不再從 remote URL 抽
c9128 複驗指出：雲端那次只改了 6 支 shell 的 sed 寫法，漏了 8 支 Python 的 re.search(r"//[^:/]+:([^@]+)@") 寫法。remote 清乾淨後這 8 支會靜默拿到 空字串 → 401，正是票上 2026-08-13「被讀成找不到／不存在」那種壞法；雲端有 環境變數所以測不出本機（只有 .env）的壞法。 - 新增 hooks/lib/gitea_token.py：Python 端唯一 token 來源，與 scripts/lib/gitea-token.sh 同一解析順序（env → $CLAUDE_PROJECT_DIR/.env → git 根的 .env），絕不從 remote URL 抽。 - 8 支改用它：scripts/ticket、debt-worklist、milestone-account、pr-verdict、 release-manifest、isep-nag、isep-notify、hooks/lib/release_chain.py。 release_chain 的 import 做成防禦式（旁邊沒有 gitea_token.py 也能載入， 讀 tag/release 一律匿名），token_from_env_or_remote 保留簽章、改走新來源。 - 測試：新增 scripts/test-gitea-token.sh（16 條，Python＋shell 兩份實作、 解析順序、髒 remote 不准解出、8 支都走得過 token 步）；docs/TESTING.md A44。 beacon 測試的 mkplugin 一併複製 gitea_token.py（release_chain 現在會 import 它）。 驗過（remote 乾淨＋無環境變數＋.env 有 token）：ticket mine／isep-nag／ isep-notify／milestone-account／pr-verdict／debt-worklist 都拿得到 token、 走得過 token 步。回歸：test-gitea-token 16/16、milestone-account 23/23、 release-manifest 21/21、debt-worklist 47/47、release-check 14/14、 release-ship 14/14、ticket-pick 84/84、ticket-triage 80/80、 ticket-repo-arg 7/7、ticket-handoff-writeback 49/49、 ticket-where-seen 17/17、isep-notify-botapi 10/10、 beacon 33/33、pr-verdict-guard 52/52。 README scripts 數在本樹實數＝68（main 66→branch 67 加 git-credential-gitea.sh →本次 68 加 test-gitea-token.sh；README 舊值 65 在 main 上就已 stale）。 hooks 仍 62，hooks-inventory.md 不動。 版本號待總管定（改到的是會被載入的 hooks/lib 與 scripts，需升版才會傳到安裝的那份）。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01SwZx8MkV84Cz2Mf4sDU4if
This commit is contained in:
Claude
Executable
+104
@@ -0,0 +1,104 @@
|
||||
#!/bin/bash
|
||||
# Gitea token 解析器的測試（inkstone/ISEP#47）——鎖住「token 只從 env／.env 來，
|
||||
# 絕不從 remote URL 抽」這條規約。一支解析器兩份實作（Python：hooks/lib/gitea_token.py；
|
||||
# shell：scripts/lib/gitea-token.sh），兩份必須解出同一把、順序一致，所以一起測。
|
||||
#
|
||||
# 全程離線：造暫存的 .env 與乾淨／髒的 git remote，**不打 Gitea、不碰 $HOME、不留測試票**。
|
||||
#
|
||||
# 為什麼要有這支：ISEP#47 的洩漏源是「token 明文嵌在 remote URL 裡」。
|
||||
# c9128 複驗指出雲端那次只改了 6 支、漏了 8 支 Python，且雲端有環境變數所以測不出
|
||||
# 本機（只有 .env）的壞法。這支把那個壞法變成一條會紅的測試——
|
||||
# remote 髒、但 token 只在 URL 裡時，解析器**必須解不出**（否則洩漏源還在）。
|
||||
cd "$(dirname "$0")/.." || exit 1
|
||||
REPO=$PWD # ISEP 樹根：子 shell cd 進暫存目錄後仍要指得回來
|
||||
PYLIB=hooks/lib/gitea_token.py
|
||||
SHLIB=scripts/lib/gitea-token.sh
|
||||
PASS=0; FAIL=0
|
||||
T=$(mktemp -d); trap 'rm -rf "$T"' EXIT
|
||||
TOK=deadbeefdeadbeefdeadbeefdeadbeef00001111 # 假 token，40 字，長得像真的
|
||||
|
||||
ok(){ # $1=條件 $2=說明
|
||||
if eval "$1"; then PASS=$((PASS+1)); printf ' ✅ %s\n' "$2"
|
||||
else FAIL=$((FAIL+1)); printf ' ❌ %s\n 判準：%s\n' "$2" "$1"; fi
|
||||
}
|
||||
|
||||
# 造一個 git repo，remote 可選乾淨或髒（把 token 嵌進 URL＝重現舊洩漏源）
|
||||
mkrepo(){ # $1=repo 目錄 $2=dirty|clean $3=有沒有 .env(env|noenv)
|
||||
d="$T/$1"; mkdir -p "$d"; ( cd "$d" && git init -q )
|
||||
if [ "$2" = "dirty" ]; then
|
||||
( cd "$d" && git remote add origin "https://claude-code:${TOK}@git.uncle6.me/inkstone/ISEP.git" )
|
||||
else
|
||||
( cd "$d" && git remote add origin "https://git.uncle6.me/inkstone/ISEP.git" )
|
||||
fi
|
||||
[ "$3" = "env" ] && printf 'FOO=x\nGITEA_TOKEN_CLAUDE_CODE=%s\nBAR=y\n' "$TOK" > "$d/.env"
|
||||
echo "$d"
|
||||
}
|
||||
|
||||
# 解析器跑一次：清掉環境變數（除非 $WITHENV），回傳解出的值到 $GOT
|
||||
resolve_py(){ # $1=cwd $2=CLAUDE_PROJECT_DIR(空=不設) $3=setenv|noenv
|
||||
local envargs="-u GITEA_TOKEN_CLAUDE_CODE -u GITEA_TOKEN"
|
||||
[ "$3" = "setenv" ] && envargs="GITEA_TOKEN_CLAUDE_CODE=$TOK"
|
||||
local pd=""; [ -n "$2" ] && pd="CLAUDE_PROJECT_DIR=$2"
|
||||
GOT=$( cd "$1" && env $envargs $pd python3 -c "
|
||||
import sys; sys.path.insert(0,'$REPO/hooks/lib')
|
||||
from gitea_token import gitea_token
|
||||
print(gitea_token() or '')" 2>/dev/null )
|
||||
}
|
||||
resolve_sh(){ # 同上，走 shell 版
|
||||
local envargs="-u GITEA_TOKEN_CLAUDE_CODE -u GITEA_TOKEN"
|
||||
[ "$3" = "setenv" ] && envargs="GITEA_TOKEN_CLAUDE_CODE=$TOK"
|
||||
local pd=""; [ -n "$2" ] && pd="CLAUDE_PROJECT_DIR=$2"
|
||||
GOT=$( cd "$1" && env $envargs $pd sh -c ". $REPO/$SHLIB; gitea_token" 2>/dev/null )
|
||||
}
|
||||
|
||||
echo "── 解析順序：先 env、再 \$CLAUDE_PROJECT_DIR/.env、最後 git 根的 .env ──"
|
||||
|
||||
# ① 環境變數優先（就算 .env 沒有也拿得到）
|
||||
R=$(mkrepo r1 clean noenv)
|
||||
resolve_py "$R" "" setenv; ok '[ "$GOT" = "$TOK" ]' 'Py ① 環境變數在 → 解得出'
|
||||
resolve_sh "$R" "" setenv; ok '[ "$GOT" = "$TOK" ]' 'sh ① 環境變數在 → 解得出'
|
||||
|
||||
# ② 沒有環境變數，token 在 $CLAUDE_PROJECT_DIR/.env（＝本機 Mac 的實況）
|
||||
R=$(mkrepo r2 clean env)
|
||||
resolve_py "$R" "$R" noenv; ok '[ "$GOT" = "$TOK" ]' 'Py ② 無 env、CLAUDE_PROJECT_DIR/.env 有 → 解得出（c9128 的壞法，這條要綠）'
|
||||
resolve_sh "$R" "$R" noenv; ok '[ "$GOT" = "$TOK" ]' 'sh ② 無 env、CLAUDE_PROJECT_DIR/.env 有 → 解得出'
|
||||
|
||||
# ③ 沒有環境變數、沒設 CLAUDE_PROJECT_DIR，token 在 git 根的 .env
|
||||
R=$(mkrepo r3 clean env)
|
||||
resolve_py "$R" "" noenv; ok '[ "$GOT" = "$TOK" ]' 'Py ③ 退到 git 根的 .env → 解得出'
|
||||
resolve_sh "$R" "" noenv; ok '[ "$GOT" = "$TOK" ]' 'sh ③ 退到 git 根的 .env → 解得出'
|
||||
|
||||
echo "── 洩漏源必須斷：token 只在 remote URL 裡時，解析器不准解出它 ──"
|
||||
|
||||
# ④ remote 髒（URL 嵌 token）、但沒有 env、沒有 .env ⇒ 必須解不出（否則 ISEP#47 沒修好）
|
||||
R=$(mkrepo r4 dirty noenv)
|
||||
resolve_py "$R" "" noenv; ok '[ -z "$GOT" ]' 'Py ④ 只有髒 remote → 解不出（不再從 URL 抽 token）'
|
||||
resolve_sh "$R" "" noenv; ok '[ -z "$GOT" ]' 'sh ④ 只有髒 remote → 解不出'
|
||||
|
||||
# ⑤ 什麼都沒有 ⇒ 空
|
||||
R=$(mkrepo r5 clean noenv)
|
||||
resolve_py "$R" "" noenv; ok '[ -z "$GOT" ]' 'Py ⑤ 什麼都沒有 → 空'
|
||||
resolve_sh "$R" "" noenv; ok '[ -z "$GOT" ]' 'sh ⑤ 什麼都沒有 → 空'
|
||||
|
||||
echo "── 八支腳本在「本機實況」下都拿得到 token（無 env＋乾淨 remote＋.env 有）──"
|
||||
# 走到 token 之後就打不通的 host，區分：印「拿不到 token」＝死在 token 步；連線失敗＝已過 token 步。
|
||||
R=$(mkrepo r6 clean env)
|
||||
past_token(){ # $1=說明 其餘=命令
|
||||
local desc="$1"; shift
|
||||
local out; out=$( cd "$R" && env -u GITEA_TOKEN_CLAUDE_CODE -u GITEA_TOKEN CLAUDE_PROJECT_DIR="$R" \
|
||||
TICKET_HOST="http://127.0.0.1:9" MILESTONE_ACCOUNT_HOST="http://127.0.0.1:9" \
|
||||
PR_VERDICT_HOST="http://127.0.0.1:9" RELEASE_MANIFEST_HOST="http://127.0.0.1:9" \
|
||||
"$@" 2>&1 )
|
||||
if echo "$out" | grep -q "拿不到.*token"; then ok 'false' "$desc（死在 token 步）"
|
||||
else ok 'true' "$desc"; fi
|
||||
}
|
||||
past_token 'ticket mine 過 token' python3 "$PWD/scripts/ticket" mine
|
||||
past_token 'isep-nag 過 token' python3 "$PWD/scripts/isep-nag"
|
||||
past_token 'isep-notify 過 token' python3 "$PWD/scripts/isep-notify" --text probe --ticket inkstone/ISEP#47
|
||||
past_token 'milestone-account 過 token' python3 "$PWD/scripts/milestone-account"
|
||||
past_token 'pr-verdict 過 token' python3 "$PWD/scripts/pr-verdict" --pr inkstone/ISEP#1
|
||||
past_token 'debt-worklist 過 token' python3 "$PWD/scripts/debt-worklist"
|
||||
|
||||
echo ""
|
||||
echo "通過 $PASS 條，失敗 $FAIL 條（共 $((PASS+FAIL)) 條）"
|
||||
[ "$FAIL" -eq 0 ]
|
||||
Reference in New Issue
Block a user