nibabashilkk/alipan_auto_sign

该项目存在严重安全隐患

JasonYANG170 opened this issue · 12 comments

JasonYANG170 commented

请不要在config.yaml填入cookie信息，Fork项目是公开存储库，任何人都可以看到config.yaml的私人cookie及tonken，破坏者会利用该信息获取用户个人隐私。建议改回配置仓库secret，Github会对secret进行加密处理

IpiggyI commented

请不要在config.yaml填入cookie信息，Fork项目是公开存储库，任何人都可以看到config.yaml的私人cookie及tonken，破坏者会利用该信息获取用户个人隐私。建议改回配置仓库secret，Github会对secret进行加密处理

自动签到很不错；这一点确实让人比较难受

IpiggyI commented

请不要在config.yaml填入cookie信息，Fork项目是公开存储库，任何人都可以看到config.yaml的私人cookie及tonken，破坏者会利用该信息获取用户个人隐私。建议改回配置仓库secret，Github会对secret进行加密处理

自动签到很不错；这一点确实让人比较难受

只能暂时自建一个仓库使用了，期待后续更好的解决方案^.^

  • 👍1
nibabashilkk commented

只能自己fork后改成私有库了，原本secret方式有点难用

JasonYANG170 commented

只能自己fork后改成私有库了，原本secret方式有点难用

fork项目是无法修改成私有库的，需要用户自建私有库，再迁移代码才可以😂

chen360781 commented

这个签到安全吗

JasonYANG170 commented

这个签到安全吗

当然，但是建议手动导入到自己的私有库运行

w32x42y commented

这个签到安全吗

当然，但是建议手动导入到自己的私有库运行

请问应该怎样操作

JasonYANG170 commented

这个签到安全吗

当然，但是建议手动导入到自己的私有库运行

请问应该怎样操作

在github创建自己的仓库，设置为私人仓库，然后下载作者的代码再上传导入自己的仓库运行

vm669 commented

是呀，建议改为以前的方式，不要用yaml

nibabashilkk commented

周末看看action语法，回头改回来配成密钥形式

vm669 commented

周末看看action语法，回头改回来配成密钥形式

pushplus是不是收费了，微信扫码登录后找不到token了

nibabashilkk commented

没收费，还能用。
要不你们看看WPS签到，昨晚移植过去的，那个应该安全点，别人看不到cookie
这是链接：https://www.baozangzhinan.com/blog/20240423a

  • 👍1