wuguanganandClaude Opus 5
e3b9153b66
feat: 拦住 AI 把密钥搬出去；README 补 AI 时代的隐私那一节
## 密钥泄漏闸
把活交给 agent 之后，泄密的形态变了。以前是人手滑，现在是**每一步都很合理的
一串操作**：git add . 顺手把 .env 提了、把真实 token 内联进配置文件当"示例"、
为了确认配置 cat 一下密钥（值就进了 transcript，0644、永久、每轮重发给 API）。
**没有一条能靠「这条命令危不危险」判断出来。** 它们都不危险。唯一可靠的信号是
这次调用的内容里有没有出现真实的密钥值。
所以加了一道闸，默认开：参数里出现库里的真实值 → 拒；git add/commit 会把
.env 一类文件或含真实值的文件带进仓库 → 拒。拒绝理由里写明正确做法
（用 $KEY、先加 .gitignore），否则模型只会换个写法再试一次。
**它跑在 hubctl 本地，不依赖 app 在不在跑。** 仓库其它拦截都是「app 没开就放行」
（一个监控工具不该让你的命令跑不起来），这一条反过来 —— 密钥漏出去不可逆。
几条守住的边界，判宽了比判窄了危险：值短于 8 字符不参与匹配（abc/true/test
会命中一切）；.example/.template/.sample 结尾放行（模板文件本来就该提交，
误拦一次用户就把整个功能关掉了）；只认 EnvRenderer 写出来的格式，不做通用
dotenv 解析；不是 git add/commit 就一个子进程都不起。
拒了之后事件照发给 app（不等应答），进审批日志 —— 一道看不见的闸，
用户第一次被拦时只会觉得 Claude 抽风。开关在密钥页底部，
落成 ~/.vibe-foreman/guard.json，且**只在关掉时才写**：
默认开，「文件不存在 = 开着」，这样没打开过密钥页的人也受保护。
明确写了它挡不住什么：python -c 读、软链、base64 转一道、库外手写的值。
它是一道减少手滑的闸，不是沙箱。
## 截图
主窗口现在也能自动截了：HUB_WINDOW_SECTION 钉住打开哪一页，
配 DemoFixtures.seed 造的假密钥和假账号（刻意编得一眼假 —— 一个像真的
token 混进去，读者会去试）。
两个坑：find-window 按面积取第一个会截到岛（它比主窗口先出现一瞬），
改成按宽度 ≥900 筛；.accessory 的进程从后台 shell 起来抢不到焦点，
而非活跃窗口里的系统控件会被去饱和 —— 截出来开关全是灰的，
正好把要展示的东西说反了，所以截图模式下改用 .regular。
顺带：进密钥页自动选中第一组。有组却什么都不选，右边一大片空白，
那是"还没建组"的样子而不是"有四组等你挑"的样子。
646 个测试全过（原 625）。真 hubctl 二进制端到端验过四种情况：
写入真值被拒、约定的 source 用法放行、git add . 带 .env 被拒、普通命令放行。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
2026-08-18 10:46:46 +08:00
..
2026-07-31 19:43:01 +08:00
2026-07-31 19:43:01 +08:00
2026-08-18 10:46:46 +08:00
2026-08-14 23:24:16 +08:00