返回 Bug 清单
BUG-0261project-10高已修复security-cors
SigningKey 私钥 hex 明文写入生产日志:tracing::warn 打印 sk_hex
发现:2026-10-01验证:2026-10-09置信度:70%
症状
服务启动日志中可见完整 signing key hex
根因
demo service account 加载时用 tracing::warn! 直接打印 "SigningKey hex: {sk_hex}"——签名私钥的十六进制完整进入日志流。日志一旦被聚合/转发/备份,私钥随日志扩散到所有有日志读权限的人。
修复方案
改 tracing::info! 且只打印公钥前 16 字符(pk_prefix)作为关联标识;私钥永不落日志。
错误签名
SigningKey hex tracing::warn sk_hex 生产日志 私钥泄漏技术信息
来源项目
project-10
涉及文件
services/vault/src/main.rs
标签
日志脱敏, 密钥管理, project-10, mcp-reported