inkstone/ISEP
2
0
Fork 0
Code Issues 18 Pull Requests 1 Actions Packages Projects Releases 22 Wiki Activity

身為 leo，我要 git push 不再把 token 印出來，我才不用每次都判斷要不要輪替金鑰 #47

New Issue
Open
opened 2026-08-20 15:19:04 +00:00 by claude-code · 0 comments
claude-code commented 2026-08-20 15:19:04 +00:00
Member
Copy Link
Copy Source

現象

每一次 git push 到 Gitea，git 都會印這一行：

$ git config lfs.https://claude-code:<token 真身>@git.uncle6.me/….git/info/lfs.locksverify true

token 明文出現在輸出裡 ⇒ 進 transcript、進 log、進任何貼出去的畫面。2026-08-20 一天發生數次。

根因

remote URL 裡嵌著 token（https://claude-code:<token>@git.uncle6.me/…）。只要它在，任何印出 remote URL 的訊息都會洩一次。

為什麼今晚沒直接修

實測過乾淨網址可行（macOS keychain 供認證，來源 /Library/Developer/CommandLineTools/usr/share/git-core/gitconfig），但六個地方靠 remote URL 抽 token：

  • InkStoneCo：system-dev/scripts/dispatch-agent.sh、.claude/hooks/factory-idle-guard.sh、scripts/wiki-panorama.sh
  • ISEP：hooks/factory-idle-guard.sh、scripts/gitea-labels-sync.sh、scripts/wiki-panorama.sh

拿掉 token 後這六個會靜默拿到空字串 → 401，而依 2026-08-13 的教訓那會被讀成「找不到／不存在」。半夜動一支 hook 風險不對稱，所以還原了。

這是記錄下來的假設，不是提問：修法應該是把 token 來源統一到 .env（GITEA_TOKEN_CLAUDE_CODE，credentials-map.md 已收錄），六處改成同一支共用 lookup，然後 remote URL 才能改乾淨。

驗收

  • 六處都不再從 remote URL 抽 token，改讀 .env
  • 兩個 repo 的 remote URL 不含憑證
  • git push 的輸出裡沒有任何 token 字樣
  • 六處各自實跑一次證明仍能認證（不是只看程式碼改了）

順帶

claude-code 這把 token 今天已在 transcript 裡明文出現多次，要不要輪替是 leo 的決定。

## 現象 每一次 `git push` 到 Gitea，git 都會印這一行： ``` $ git config lfs.https://claude-code:<token 真身>@git.uncle6.me/….git/info/lfs.locksverify true ``` **token 明文出現在輸出裡** ⇒ 進 transcript、進 log、進任何貼出去的畫面。2026-08-20 一天發生數次。 ## 根因 remote URL 裡嵌著 token（`https://claude-code:<token>@git.uncle6.me/…`）。只要它在，任何印出 remote URL 的訊息都會洩一次。 ## 為什麼今晚沒直接修 實測過乾淨網址可行（macOS keychain 供認證，來源 `/Library/Developer/CommandLineTools/usr/share/git-core/gitconfig`），但**六個地方靠 remote URL 抽 token**： - `InkStoneCo`：`system-dev/scripts/dispatch-agent.sh`、`.claude/hooks/factory-idle-guard.sh`、`scripts/wiki-panorama.sh` - `ISEP`：`hooks/factory-idle-guard.sh`、`scripts/gitea-labels-sync.sh`、`scripts/wiki-panorama.sh` 拿掉 token 後這六個會**靜默拿到空字串 → 401**，而依 2026-08-13 的教訓那會被讀成「找不到／不存在」。半夜動一支 hook 風險不對稱，所以還原了。 **這是記錄下來的假設，不是提問**：修法應該是把 token 來源統一到 `.env`（`GITEA_TOKEN_CLAUDE_CODE`，`credentials-map.md` 已收錄），六處改成同一支共用 lookup，然後 remote URL 才能改乾淨。 ## 驗收 - 六處都不再從 remote URL 抽 token，改讀 `.env` - 兩個 repo 的 remote URL 不含憑證 - `git push` 的輸出裡沒有任何 token 字樣 - 六處各自實跑一次證明仍能認證（不是只看程式碼改了） ## 順帶 `claude-code` 這把 token 今天已在 transcript 裡明文出現多次，要不要輪替是 leo 的決定。
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
Human
👤 這件事需要 leo 親手批示／動手（花錢・不可逆・品味方向・物理動作）。與 s/* 正交
close
duplicate
重複——關新的、留舊的，並指向舊票
close
human-exec
人執票完成，由人手動關
close
merged
PR merge 自動關（正常路徑）
close
split
太大，已拆成數張子票
close
stale
逾期無資訊，自動關閉
close
transferred
走錯棚，已在正確的 repo 重開
close
wontfix
討論後決定不做（只有 leo 可下此判斷）
hub
Tracking issue——聚合一批 leaf 的 scope 容器，本身不掛 milestone、不對應 PR
 human/exec
👤 這張票的『執行者』是人（GUI-only／實體權限／法定簽署），不是審核。交付物是環境狀態改變，不是 PR
p
high
高——擋住交付或有時間壓力
p
low
低——想做，但晚一點沒關係
s
backlog
驗過了、確定要做，但還沒排進任何 sprint
s
doing
進行中——已 self-assign，現在有人在做
s
pending
卡住——等外部／等依賴，不是沒人做
s
review
PR 已開（含 closes #n），等總管 review 並 merge
s
stage
已部署 stage，等 leo 實際驗收
s
todo
已排進 milestone，等人領票
s
triage
新進來的，還沒驗傷——還沒決定要不要做
type
bug
壞掉的東西
type
chore
雜務、整理、不改行為
type
feature
新能力
type
governance
規範、流程、閘本身
No Label
Milestone
No items
No Milestone
Projects
Clear projects
No project
Assignees
Clear assignees
Leo claude-code (claude-code)
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: inkstone/ISEP#47
Delete Branch "%!s()"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?