deel-local-cli 1.19.5 → 1.20.1
This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.
- package/README.ko.md +4 -2
- package/README.md +4 -2
- package/package.json +1 -1
- package/src/safety/secrets.js +94 -15
package/README.ko.md
CHANGED
|
@@ -20,7 +20,7 @@
|
|
|
20
20
|
|
|
21
21
|
[](https://github.com/jysvai/deel-local-cli/actions/workflows/test.yml)
|
|
22
22
|
[](https://github.com/jysvai/deel-local-cli/actions/workflows/codeql.yml)
|
|
23
|
-
[](docs/ko/develop.md)
|
|
24
24
|
|
|
25
25
|
[](https://www.npmjs.com/package/deel-local-cli?activeTab=dependencies)
|
|
26
26
|
[](package.json)
|
|
@@ -301,7 +301,7 @@ deel --offline
|
|
|
301
301
|
무엇이 어디로 갈 수 있는지는 켤 때 화면 맨 위에 늘 적혀 있습니다.
|
|
302
302
|
|
|
303
303
|
```
|
|
304
|
-
deel 1.
|
|
304
|
+
deel 1.20.1 ⌂ 이 안
|
|
305
305
|
보냄 이 컴퓨터 안 127.0.0.1:11434 ← 여기 말고는 어디로도 안 갑니다
|
|
306
306
|
```
|
|
307
307
|
|
|
@@ -1289,6 +1289,8 @@ zip 은 진짜 `unzip` 으로, tar 는 진짜 `tar` 가 만든 것을 읽혀 교
|
|
|
1289
1289
|
|
|
1290
1290
|
| 판 | 무엇이 바뀌었나 |
|
|
1291
1291
|
|---|---|
|
|
1292
|
+
| [1.20.1](docs/ko/releases/1.20.md#1201) | `PASSWORD=` 는 한 번도 안 잡히고 있었습니다 |
|
|
1293
|
+
| [1.20.0](docs/ko/releases/1.20.md#1200) | 대문자로 안 적은 열쇠는 그대로 나가고 있었습니다 |
|
|
1292
1294
|
| [1.19.5](docs/ko/releases/1.19.md#1195) | 윈도우 줄바꿈에서는 앞 판의 고침이 통째로 헛돌고 있었습니다 |
|
|
1293
1295
|
| [1.19.4](docs/ko/releases/1.19.md#1194) | 주석을 달아 둔 자리에서 비밀이 또 샜습니다 |
|
|
1294
1296
|
| [1.19.3](docs/ko/releases/1.19.md#1193) | YAML 에 적은 비밀이 평문으로 나가고 있었습니다 |
|
package/README.md
CHANGED
|
@@ -20,7 +20,7 @@ Vendor APIs connect too — **only when you say so**
|
|
|
20
20
|
|
|
21
21
|
[](https://github.com/jysvai/deel-local-cli/actions/workflows/test.yml)
|
|
22
22
|
[](https://github.com/jysvai/deel-local-cli/actions/workflows/codeql.yml)
|
|
23
|
-
[](docs/en/develop.md)
|
|
24
24
|
|
|
25
25
|
[](https://www.npmjs.com/package/deel-local-cli?activeTab=dependencies)
|
|
26
26
|
[](package.json)
|
|
@@ -374,7 +374,7 @@ deel --offline
|
|
|
374
374
|
The destination is printed at the top of every session:
|
|
375
375
|
|
|
376
376
|
```
|
|
377
|
-
deel 1.
|
|
377
|
+
deel 1.20.1 ⌂ inside
|
|
378
378
|
Sends to this machine 127.0.0.1:11434 ← nowhere else
|
|
379
379
|
```
|
|
380
380
|
|
|
@@ -1350,6 +1350,8 @@ so one run tells you everything.
|
|
|
1350
1350
|
|
|
1351
1351
|
| Version | What changed |
|
|
1352
1352
|
|---|---|
|
|
1353
|
+
| [1.20.1](docs/en/releases/1.20.md#1201) | `PASSWORD=` was never once caught |
|
|
1354
|
+
| [1.20.0](docs/en/releases/1.20.md#1200) | A key not written in capitals was going out as it was |
|
|
1353
1355
|
| [1.19.5](docs/en/releases/1.19.md#1195) | On Windows line endings the previous release's fix did nothing at all |
|
|
1354
1356
|
| [1.19.4](docs/en/releases/1.19.md#1194) | Secrets leaked again wherever a comment was written |
|
|
1355
1357
|
| [1.19.3](docs/en/releases/1.19.md#1193) | Secrets written in YAML were going out in plaintext |
|
package/package.json
CHANGED
package/src/safety/secrets.js
CHANGED
|
@@ -44,17 +44,59 @@ const 표 = (종류) => `«가림:${종류}»`;
|
|
|
44
44
|
* 코드가 조용히 달라진다. 그건 여기서 막으려는 것보다 더 나쁜 고장이다.
|
|
45
45
|
*/
|
|
46
46
|
/**
|
|
47
|
-
* 한
|
|
47
|
+
* 한 줄에서 `#` 주석을 뗀다.
|
|
48
48
|
*
|
|
49
|
-
* 주석 안은 코드가 아니다.
|
|
50
|
-
*
|
|
51
|
-
*
|
|
49
|
+
* 주석 안은 코드가 아니다. 떼지 않으면 `# https://api.example.com` 의 `//`,
|
|
50
|
+
* `# (운영환경용)` 의 괄호, `# type: bearer` 의 `type` 이 전부 「이 줄은 코드」
|
|
51
|
+
* 라는 증거로 읽혀 **그 줄의 비밀이 평문으로 나간다**(14차 리뷰).
|
|
52
52
|
*
|
|
53
|
-
*
|
|
54
|
-
*
|
|
55
|
-
*
|
|
53
|
+
* 무늬 하나로는 안 된다. 무늬로 하면 둘 중 하나를 고르게 된다(16차 리뷰).
|
|
54
|
+
*
|
|
55
|
+
* - `#` 앞 빈칸을 **요구하면** `API_KEY=prod.v1.secret#(운영)` 이 샌다.
|
|
56
|
+
* - **안 요구하면** `msg = "a # b"; x.API_KEY = config.apiKey;` 처럼 글자열
|
|
57
|
+
* 안의 `#` 부터 잘려 뒤쪽 `;` 이 사라지고, 멀쩡한 코드가 가려진다.
|
|
58
|
+
*
|
|
59
|
+
* 그래서 따옴표를 세면서 걷는다. **따옴표 밖**의 첫 `#` 부터가 주석이다.
|
|
60
|
+
*
|
|
61
|
+
* 자바스크립트의 몰래칸(`#`)은 넘긴다 — `obj.#몰래칸` 처럼 점 뒤에 오거나,
|
|
62
|
+
* ` #apiKey = config.apiKey;` 처럼 줄머리에 온다. 뒤에 이름씨 글자가 붙어
|
|
63
|
+
* 있어야 몰래칸이다. 안 넘기면 그 선언 줄이 통째로 잘려 나가고, 남은 빈 줄에
|
|
64
|
+
* 코드의 표시가 없어 멀쩡한 코드가 가려진다(17차 리뷰).
|
|
65
|
+
*
|
|
66
|
+
* 줄머리 `#` 을 안 잘라도 설정 줄은 안 상한다 — `# API_KEY: 값` 은 잘라도
|
|
67
|
+
* 안 잘라도 코드의 표시가 없어 어차피 가려진다.
|
|
68
|
+
*/
|
|
69
|
+
const 몰래칸 = (줄, i) => /^[\p{L}_$]/u.test(줄[i + 1] ?? '')
|
|
70
|
+
&& (줄[i - 1] === '.' || /^[ \t]*$/.test(줄.slice(0, i)));
|
|
71
|
+
|
|
72
|
+
const 주석떼기 = (줄) => {
|
|
73
|
+
let 따 = '';
|
|
74
|
+
for (let i = 0; i < 줄.length; i += 1) {
|
|
75
|
+
const 자 = 줄[i];
|
|
76
|
+
if (따) {
|
|
77
|
+
if (자 === '\\') i += 1;
|
|
78
|
+
else if (자 === 따) 따 = '';
|
|
79
|
+
continue;
|
|
80
|
+
}
|
|
81
|
+
if (자 === '"' || 자 === "'" || 자 === '`') { 따 = 자; continue; }
|
|
82
|
+
if (자 === '#' && !몰래칸(줄, i)) return 줄.slice(0, i);
|
|
83
|
+
}
|
|
84
|
+
return 줄;
|
|
85
|
+
};
|
|
86
|
+
|
|
87
|
+
/**
|
|
88
|
+
* `자리` 가 놓인 **한 줄**을 떼어 낸다.
|
|
89
|
+
*
|
|
90
|
+
* 줄바꿈을 `\n` 으로만 찾으면 `\r` 만 쓰는 글에서 파일 통째가 한 줄이 되고,
|
|
91
|
+
* 그러면 저 아래 어딘가의 `;` 하나 때문에 이 줄이 코드로 뒤집힌다(16차 리뷰).
|
|
92
|
+
* CRLF 의 `\r` 도 여기서 같이 떨어진다 — 안 떨어뜨리면 줄 끝을 보는 규칙이
|
|
93
|
+
* 통째로 헛돈다(15차 리뷰). 이 저장소가 도는 자리가 윈도우다.
|
|
56
94
|
*/
|
|
57
|
-
const
|
|
95
|
+
const 줄떼기 = (전체, 자리) => {
|
|
96
|
+
const 앞 = Math.max(전체.lastIndexOf('\n', 자리), 전체.lastIndexOf('\r', 자리)) + 1;
|
|
97
|
+
const 남은 = 전체.slice(자리).search(/[\r\n]/);
|
|
98
|
+
return 전체.slice(앞, 남은 < 0 ? 전체.length : 자리 + 남은);
|
|
99
|
+
};
|
|
58
100
|
|
|
59
101
|
/**
|
|
60
102
|
* `.env` · YAML 한 줄에는 없고 코드 한 줄에는 있는 것들.
|
|
@@ -107,6 +149,12 @@ const 코드표시 = /[()]|=>|\/\/|\/\*|;|,[ \t]*$|\b(?:const|let|var|interface|
|
|
|
107
149
|
* 낱말을 점으로 이은 꼴이다. 그러니 값 모양으로 가를 수 있다는 생각을
|
|
108
150
|
* 버린다. 갈리지 않는 것을 갈리는 척하면 그게 더 위험하다.
|
|
109
151
|
*
|
|
152
|
+
* 점 뒤의 `#` 도, 물음표 이음(`config?.apiKey`)도 이름씨의 한 조각이다.
|
|
153
|
+
*
|
|
154
|
+
* 이름씨는 영문만이 아니다. `설정.비밀번호` 를 이름씨로 안 보면
|
|
155
|
+
* `const API_KEY = 설정.비밀번호;` 가 가려진다 — 이 저장소 집안 스타일이
|
|
156
|
+
* 한글 이름씨라 제 코드부터 뭉갰다(16차 리뷰). 글자 갈래로 본다.
|
|
157
|
+
*
|
|
110
158
|
* 점이 없는 맨 값(`const API_KEY = apiKey;`)까지 줄을 묻게 넓혀 봤더니,
|
|
111
159
|
* 이 저장소가 **가리라고 못 박아 둔** `const API_KEY = ENV-PROD-SECRET-KEY-12345;`
|
|
112
160
|
* 와 `call(API_KEY = abcd1234)` 가 같이 풀렸다. 점 없는 한 낱말은 이름씨일
|
|
@@ -138,11 +186,8 @@ const 코드표시 = /[()]|=>|\/\/|\/\*|;|,[ \t]*$|\b(?:const|let|var|interface|
|
|
|
138
186
|
* @returns {boolean} 가릴까
|
|
139
187
|
*/
|
|
140
188
|
const 점값을가릴까 = (전체, 자리, 값) => {
|
|
141
|
-
if (!/^[
|
|
142
|
-
|
|
143
|
-
const 뒤 = 전체.indexOf('\n', 자리);
|
|
144
|
-
const 줄 = 전체.slice(앞, 뒤 < 0 ? 전체.length : 뒤).replace(/\r$/, '').replace(주석, '');
|
|
145
|
-
return !코드표시.test(줄);
|
|
189
|
+
if (!/^[\p{L}_$][\p{L}\p{N}_$]*(?:\??\.#?[\p{L}_$][\p{L}\p{N}_$]*)+$/u.test(값)) return true;
|
|
190
|
+
return !코드표시.test(주석떼기(줄떼기(전체, 자리)));
|
|
146
191
|
};
|
|
147
192
|
|
|
148
193
|
export const 갈래 = [
|
|
@@ -481,12 +526,46 @@ export const 갈래 = [
|
|
|
481
526
|
* 고치는 김에 슬쩍 뒤집으면, 그건 고침이 아니라 다른 결정이다.
|
|
482
527
|
*/
|
|
483
528
|
// 값 자리가 또 환경변수를 읽는 것이면 참조다 — Node · Vite · 파이썬 · Deno.
|
|
529
|
+
/*
|
|
530
|
+
* ── 이름은 대문자만이 아니다 (15차 리뷰에서 드러난 자리) ──────────
|
|
531
|
+
*
|
|
532
|
+
* 여태 `API_KEY` 같은 **대문자 이름만** 비밀 이름으로 봤다. `.env` 는
|
|
533
|
+
* 대문자가 관례라 그것으로 됐는데, 코드와 JSON·YAML 설정은 아니다.
|
|
534
|
+
*
|
|
535
|
+
* apiKey: 'sk-진짜열쇠-1234' 안 가림 — 평문으로 나갔다
|
|
536
|
+
* api_key: "prod.auth.secret" 안 가림
|
|
537
|
+
*
|
|
538
|
+
* 그래서 낙타등과 밑줄로 이은 이름도 본다. 낱말 사이가 **끊겨 있어야**
|
|
539
|
+
* 한다 — `_key` 아니면 `Key`. 그냥 소문자 `key` 로 끝나는 것까지 받으면
|
|
540
|
+
* `monkey` · `hotkey` 가 걸린다.
|
|
541
|
+
*
|
|
542
|
+
* 앞머리는 있어도 없어도 된다. `PASSWORD=` · `SECRET=` · `TOKEN=` 은
|
|
543
|
+
* `.env` 에서 제일 흔한 이름인데 **앞머리를 요구하는 바람에 하나도 안
|
|
544
|
+
* 잡히고 있었다**(17차 리뷰). 짧은 앞머리(`A_KEY`)와 밑줄로 시작하는
|
|
545
|
+
* 이름(`_apiKey`)도 같은 까닭으로 샜다.
|
|
546
|
+
*
|
|
547
|
+
* 민 이름으로 받을 때 빼는 것이 셋 있다. 재 보고 뺐다.
|
|
548
|
+
*
|
|
549
|
+
* - 소문자 `key` — `key: 값` 은 그냥 짝의 이름일 때가 너무 많다.
|
|
550
|
+
* - `PWD` — 셸의 **현재 폴더**다. `PWD: '/work'` 가 가려졌다.
|
|
551
|
+
* 앞머리가 붙은 `DB_PWD` 는 그대로 본다.
|
|
552
|
+
* - 붙임표로 이은 낱말 — `id-token: write` 는 깃허브 액션 문법이다.
|
|
553
|
+
* 밑줄과 낙타등은 이름씨 관례고, 붙임표는 YAML 짝 이름 관례다.
|
|
554
|
+
*
|
|
555
|
+
* 재 봤다. 이 저장소 파일 348개에 넣어 보니 21줄이 새로 가려졌고,
|
|
556
|
+
* **전부 진짜 열쇠였다**(`apiKey: 'sk-…'` 꼴).
|
|
557
|
+
*
|
|
558
|
+
* 치르는 값: `cacheKey` · `rowKey` 처럼 비밀이 아닌 낙타등 이름에
|
|
559
|
+
* 따옴표 값이 붙으면 같이 가려진다. 줄이 뭉개지는 것이 비밀이 나가는
|
|
560
|
+
* 것보다 낫다(1.19.0). 검사로 못 박아 둔다.
|
|
561
|
+
*/
|
|
484
562
|
id: '환경변수',
|
|
485
|
-
re: /\b([A-
|
|
563
|
+
re: /\b(_?(?:[A-Z0-9_]*(?:KEY|TOKEN|SECRET|PASSWORD|PASSWD|CREDENTIALS?)|[A-Z0-9_]+PWD|[A-Za-z][A-Za-z0-9]*(?:_(?:key|token|secret|password|passwd|pwd|credentials?)|Key|Token|Secret|Password|Passwd|Pwd|Credentials?)|(?<![-\w])(?:password|secret|token|passwd|credentials?)))(?:(["']?[ \t]*(?::[^\n,;]{0,200}?|:[^\n]{0,200}?[>\])}][^\n,;]{0,80}?)[ \t]*=(?!=|>)\s*)((?:\(\s*)+)?(["'`])(?!«)((?:\\[^\n]|(?!\4)[^\n]){4,}?)\4((?:\s*\))+)?|(["']?\s*(?::(?![^\n]{0,200}?=[ \t]*«가림:)|=)\s*)((?:\(\s*)+)?(?:(["'`])(?!«)((?:\\[^\n]|(?!\9)[^\n]){4,}?)\9|(?!«)(?![\w$.]+\s*[([])(?!(?:string|number|boolean|bigint|symbol|object|unknown|never|void|null|undefined|true|false)\b)(?![^\n]{0,200}?}[ \t]*(?:=(?!=|>)|\)))(?!\(*\s*(?:process\.env|import\.meta\.env|globalThis\.process\.env|globalThis\.env|os\.environ|os\.getenv|ENV(?=\s*[[.(])|Deno\.env|Bun\.env)\b)([^\s"'()[\]{},;<>]{4,})(?=[ \t]*(?:[;,)\]}\r\n#]|$)))((?:\s*\))+)?)/g,
|
|
486
564
|
바꾸기: (m, 이름, 타입사이, 타입여는, 따A, 값A, 타입닫는,
|
|
487
565
|
민사이, 여는, 따B, 값B, 값C, 닫는, 자리, 전체) => {
|
|
488
566
|
// 따옴표 없는 맨 값만 「코드가 가리키는 이름인가」 를 되묻는다.
|
|
489
|
-
|
|
567
|
+
// 짝이 여러 줄에 걸리면 이름 줄이 아니라 **값이 놓인 줄**을 물어야 한다.
|
|
568
|
+
if (값C !== undefined && !점값을가릴까(전체, 자리 + m.lastIndexOf(값C), 값C)) return m;
|
|
490
569
|
return 타입사이 === undefined
|
|
491
570
|
? `${이름}${민사이}${여는 ?? ''}${표('환경변수')}${닫는 ?? ''}`
|
|
492
571
|
: `${이름}${타입사이}${타입여는 ?? ''}${표('환경변수')}${타입닫는 ?? ''}`;
|