Co to znamená
Položka dodavatele může jmenovat proměnnou prostředí, v níž žijí jeho přihlašovací údaje (credential_env: ANTHROPIC_API_KEY), a každý výpis odpovídá o ní jedním bitem: nastaveno, nebo ne. Žádná cesta kódu nečte hodnotu proměnné; žádné pole katalogu, jeho schématu ani projekce nemůže nést klíč, token ani heslo — takže únik přes povrch models by vyžadoval nejdřív přidat nové pole, což je zkontrolovaná změna, ne nehoda.
Princip
Přítomnost je std::env::var_os(name).is_some() a nic víc (apps/majordomus-cli/src/capability/builtin/models.rs); odpověď je boolean vedle dodavatele. Vlastnost drží test, který prochází vlastní JSON schéma katalogu (apps/majordomus-cli/src/models/mod.rs) a odmítne jakýkoli název vlastnosti, který zavání přihlašovacími údaji — takže to, co nemůže držet tajemství, je schéma, ne konvence. test/cases/131_models.sh dokazuje polovinu viditelnou provozovateli: nastavení pojmenované proměnné přepne zprávu na „configured“ a hodnota se nikde ve výstupu neobjeví.
Jak to vidět
majordomus models list # "credential configured" / "not configured"
CASE_KEY=value majordomus models list # flips the report; the value appears nowhere
cargo test --manifest-path apps/majordomus-cli/Cargo.toml --lib no_field_of_the_cataloguetest/cases/131_models.sh vygrepuje kanárkovou hodnotu přihlašovacího údaje z každého vykreslení a selže, pokud se kdy objeví.
Co nepokrývá
Nespravuje přihlašovací údaje — žádné ukládání, rotace ani ověřování, že klíč skutečně funguje. Přítomnost pojmenované proměnné je celý fakt, protože je to celý fakt, který tento nástroj může čestně uvést.
Proč existuje
Úniky přihlašovacích údajů přes výpisy a diagnostiku jsou klasickým selháním inventářních povrchů. Schéma bez pole, které by mohlo tajemství obsadit — držené testem, který schéma prochází, ne konvencí — posouvá vlastnost od „všichni jsou opatrní“ k „typový systém odmítne“ (ADR 0049).