Безопасность

Чем закрыта запись, что защищает токен и как сообщить о проблеме безопасности приватно.

Модель угроз

Вот что мост защищает по замыслу.

• MCP-сервер слушает 127.0.0.1 и ничего больше. На публичный интерфейс он не выходит никогда.
• Инструменты записи под охраной. Каждому нужен настроенный токен, каждый возвращает план, пока не передан apply=true, и работает только с локальной моделью EDT. edt_rename, edt_delete_object и edt_delete_method сверх того требуют явный force. edt_evaluate исполняет произвольный BSL против живой информационной базы, поэтому ему нужны подтверждение на каждый вызов и серверный переключатель, выключенный по умолчанию.
• Токен-секрет необязателен, и только он отделяет вас от остальных процессов машины. Задайте EDT_BRIDGE_TOKEN или -Dedt.bridge.token= и шлите Authorization: Bearer <token> либо X-Edt-Bridge-Token: <token>. Порт доступен любому локальному процессу, так что на общей машине токен необязателен только на бумаге.
• Порт задают EDT_BRIDGE_PORT и -Dedt.bridge.port=, по умолчанию 8770, а занятый порт сервер меняет на следующий свободный. Остальные настройки собраны в разделе Переменные окружения.

Поддерживаемые версии

EDT-Bridge ещё не дошёл до 1.0, и исправления выходят только на последней линии релизов. Воспроизведите проблему на самом свежем релизе, прежде чем сообщать о ней.

Как сообщить об уязвимости

Не открывайте публичную задачу по проблеме безопасности. Сообщите приватно через GitHub: на вкладке Security репозитория выберите Report a vulnerability либо откройте https://github.com/keyfire/edt-bridge/security/advisories/new.

Укажите версию EDT-Bridge, вашу версию 1C:EDT и ОС, а также шаги воспроизведения. Вы получите подтверждение, а исправление выйдет на последней линии релизов. Спасибо, что сначала написали приватно.