guanghulab/System_Logs/token-audit-20260324.md

🔐 guanghu-token 令牌审计报告

审计执行者：铸渊（ICE-GL-ZY001） 审计时间：2026-03-24T15:42+08:00 指令来源：霜砚签发 · ZY-PAT-AUDIT-2026-0324-001

---

Phase 1 · 排查结果

1.1 跨仓库令牌清单

共发现 3 个与「子仓库桥接 / 跨仓库访问」直接相关的 Secret：

#	Secret 名称	引用次数	用途分类
1	MAIN_REPO_TOKEN	4 次	联邦桥接 + 子仓库拉取
2	CROSS_REPO_TOKEN	2 次	persona-studio 跨仓库同步
3	DEPLOY_GITHUB_TOKEN	1 次	Drive 桥接部署 + Git 提交

1.2 各 Secret 详细用途

① MAIN_REPO_TOKEN ⭐ 最可能对应 guanghu-token

引用文件：

文件	用法	说明
federation-bridge.yml (×3)	env: MAIN_REPO_TOKEN → Node 脚本	联邦桥接：向 qinfendebingshuo 组织下的子仓库分发公告/同步状态
pull-sync-awen.yml (×1)	env: GH_TOKEN → git clone URL	子仓库拉取：git clone https://x-access-token:${GH_TOKEN}@github.com/WENZHUOXI/guanghu-awen.git

判断依据：

• 用途完全匹配「开发者子仓库桥接」
• federation-bridge.yml = 联邦桥接核心 workflow
• pull-sync-awen.yml = 子仓库同步核心 workflow
• 这就是 guanghu-token 对应的 Secret

---

② CROSS_REPO_TOKEN

引用文件：

文件	用法	说明
sync-persona-studio.yml (×2)	env: CROSS_REPO_TOKEN → Bearer Token	向 qinfendebingshuo/persona-studio 发送 repository_dispatch 事件

用法详情：

curl -X POST \
  -H "Authorization: Bearer $CROSS_REPO_TOKEN" \
  https://api.github.com/repos/qinfendebingshuo/persona-studio/dispatches

判断：此 Secret 可能也使用同一个 PAT，需一并更新。

---

③ DEPLOY_GITHUB_TOKEN

引用文件：

文件	用法	说明
auto-deploy-drive-bridge.yml (×1)	env: DEPLOY_GITHUB_TOKEN → Node 脚本	Drive 桥接部署后 git push 提交结果

判断：如果此 Secret 也使用同一个 PAT，需一并更新。

---

1.3 结论

guanghu-token 最可能对应的 Secret 名称是 MAIN_REPO_TOKEN

理由：它专用于联邦桥接和子仓库拉取，完全符合「开发者子仓库桥接」的用途描述。

可能共用同一 PAT 的 Secret（建议一并检查）：

• CROSS_REPO_TOKEN — persona-studio 跨仓库同步
• DEPLOY_GITHUB_TOKEN — Drive 桥接部署

---

Phase 2 · 主控操作指引

更新步骤

1. 进入仓库：qinfendebingshuo/guanghulab
2. 导航至：Settings → Secrets and variables → Actions
3. 找到并更新以下 Secret（粘贴新生成的 guanghu-token 值）：

优先级	Secret 名称	操作
🔴 必须	MAIN_REPO_TOKEN	点编辑 → 粘贴新令牌 → 保存
🟡 检查	CROSS_REPO_TOKEN	如果使用同一 PAT → 同步更新
🟡 检查	DEPLOY_GITHUB_TOKEN	如果使用同一 PAT → 同步更新

验证方法

更新后，手动触发以下 Workflow 验证：

Workflow	触发方式	预期结果
federation-bridge.yml	Actions → 手动 Run workflow	不报 401/403
pull-sync-awen.yml	Actions → 手动 Run workflow	成功 clone awen 仓库
sync-persona-studio.yml	推送 persona-studio/ 目录变更	成功触发 dispatch

---

Phase 4 · 安全扫描结果

硬编码令牌扫描

检查项	结果	说明
ghp_ 前缀扫描	✅ 安全	仅 dingtalk-bot/.env.example 有占位符 ghp_your_github_token_here（非真实令牌）
github_pat_ 前缀扫描	✅ 安全	未发现任何匹配
glpat_ 前缀扫描	✅ 安全	未发现任何匹配

安全评估

• ✅ 所有令牌均通过 secrets.* 引用，无硬编码
• ✅ .env.example 使用占位符，无真实凭据泄露
• ✅ 跨仓库操作均有条件检查（如 if: env.CROSS_REPO_TOKEN != ''）
• ⚠️ 共发现 57 个 独立 Secret 在 Workflow 中被引用，建议定期审计

---

📝 执行回执

Phase	状态	完成时间	结果
Phase 1 · 排查对应 Secret	✅ 完成	2026-03-24T15:42+08:00	MAIN_REPO_TOKEN = guanghu-token 主要对应
Phase 2 · 通知主控	✅ 报告已生成	2026-03-24T15:42+08:00	操作指引见上方
Phase 3 · 验证修复	⏳ 待人类操作	—	需主控更新后触发验证
Phase 4 · 安全扫描	✅ 完成	2026-03-24T15:42+08:00	无硬编码令牌，安全

---

🔧 铸渊 · ICE-GL-ZY001 📅 2026-03-24T15:42+08:00