Divulgação de informações sensíveis: segredo do cliente OAuth2 exposto nas configurações de admin (não mascarado)

Não consideramos a divulgação de informações para administradores um problema, mas sim, deveria ser marcada como sensível para evitar que apareça desnecessariamente, da mesma forma que, por exemplo, google_oauth2_client_secret.

Esta é uma correção simples:

Há um equilíbrio entre sigilo e conveniência; não permitir que os segredos sejam desmascarados na interface do usuário forneceria apenas uma ilusão de inacessibilidade, existem outras maneiras para um administrador lê-lo facilmente do banco de dados.

No entanto, quaisquer segredos (qualquer configuração do site, na verdade) podem ser especificados através do ambiente, então eles não aparecerão na interface do administrador.

(certo @pmusaraj?)

2 curtidas