Предыдущий Efficiency RC-17 сообщает inline credential-like value в global OpenCode config. Значение отсутствует в отчёте, live validity/exposure не подтверждены; local config не versioned root. Это отдельная гипотеза, не доказанный P0 application incident.
Expected Behavior
Владелец локально подтверждает actual credential ownership/status и при live secret устраняет inline storage/экспозицию; публичный outcome не содержит secret/config/session payload.
Evidence
Audit date 2026-10-11; Source report audit-results/АудитЭффективности.md, RC-17 (публичный оригинал blocked, содержит private session metadata). Archive blocker/triage. Verified root revision dc030f84c979cedb2628ef4bd97c62d6c63a9256 не фиксирует global config. Confidence Medium current state; Verification status runtime-unverified.
Affected configuration: ~/.config/opencode/opencode.jsonc historical line16; текущий range неизвестен. Git permalink намеренно отсутствует: файл вне Git и публиковать его нельзя.
Scope
In scope
Private owner inspection, live/placeholder/revoked determination; rotation/revocation только при подтверждённом live credential и owner authority.
Out of scope
Вывод/копирование token, raw config/log dump, публичная private session history, изменение application source, новый secret manager.
Proposed Approach
Проверить метаданные/назначение без записи значения в tools/logs. При live value existing environment reference и owner-managed rotation; если уже исправлено/placeholder — KEEP/NO_ACTION с non-sensitive evidence.
Acceptance Criteria
Owner записал current disposition live/already-remediated/placeholder/unresolved без значения/частных identifiers.
При подтверждённом live secret inline use прекращено, old credential revoked/rotated и provider работает с existing env reference.
Неизвестный input остаётся явным blocker; P0/exposure не объявлены без доказательств.
Verification
Private configuration/status review и owner-approved minimal provider functionality; public Git/API outputs только sanitized outcome. Application tests не нужны.
Dependencies
Local config/provider owner input. Root repository — coordination location, не владелец credential storage; assignee не угадывается.
Traceability
Campaign #23 . Finding RC-17. WealthLedger/main coordination; behavior owner global local configuration; T36.
<!-- wealthledger-audit:2026-10-11:provider-credential-handling -->
## Problem
Предыдущий Efficiency RC-17 сообщает inline credential-like value в global OpenCode config. Значение отсутствует в отчёте, live validity/exposure не подтверждены; local config не versioned root. Это отдельная гипотеза, не доказанный P0 application incident.
## Expected Behavior
Владелец локально подтверждает actual credential ownership/status и при live secret устраняет inline storage/экспозицию; публичный outcome не содержит secret/config/session payload.
## Evidence
Audit date `2026-10-11`; Source report `audit-results/АудитЭффективности.md`, RC-17 (публичный оригинал blocked, содержит private session metadata). [Archive blocker/triage](https://git.personal.ksv741.ru/WealthLedger/main/src/commit/d07fbfabb1295780952a554185989d2d5b5c8349/audits/2026-10-11/README.md). Verified root revision `dc030f84c979cedb2628ef4bd97c62d6c63a9256` не фиксирует global config. Confidence Medium current state; Verification status runtime-unverified.
Affected configuration: `~/.config/opencode/opencode.jsonc` historical line16; текущий range неизвестен. Git permalink намеренно отсутствует: файл вне Git и публиковать его нельзя.
## Scope
### In scope
Private owner inspection, live/placeholder/revoked determination; rotation/revocation только при подтверждённом live credential и owner authority.
### Out of scope
Вывод/копирование token, raw config/log dump, публичная private session history, изменение application source, новый secret manager.
## Proposed Approach
Проверить метаданные/назначение без записи значения в tools/logs. При live value existing environment reference и owner-managed rotation; если уже исправлено/placeholder — KEEP/NO_ACTION с non-sensitive evidence.
## Acceptance Criteria
- [ ] Owner записал current disposition live/already-remediated/placeholder/unresolved без значения/частных identifiers.
- [ ] При подтверждённом live secret inline use прекращено, old credential revoked/rotated и provider работает с existing env reference.
- [ ] Неизвестный input остаётся явным blocker; P0/exposure не объявлены без доказательств.
## Verification
Private configuration/status review и owner-approved minimal provider functionality; public Git/API outputs только sanitized outcome. Application tests не нужны.
## Dependencies
Local config/provider owner input. Root repository — coordination location, не владелец credential storage; assignee не угадывается.
## Traceability
Campaign https://git.personal.ksv741.ru/WealthLedger/main/issues/23 . Finding RC-17. WealthLedger/main coordination; behavior owner global local configuration; T36.
codex-bot
added this to the Technical Audit Remediation — 2026-10-11 milestone 2026-10-11 21:52:14 +03:00
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Problem
Предыдущий Efficiency RC-17 сообщает inline credential-like value в global OpenCode config. Значение отсутствует в отчёте, live validity/exposure не подтверждены; local config не versioned root. Это отдельная гипотеза, не доказанный P0 application incident.
Expected Behavior
Владелец локально подтверждает actual credential ownership/status и при live secret устраняет inline storage/экспозицию; публичный outcome не содержит secret/config/session payload.
Evidence
Audit date
2026-10-11; Source reportaudit-results/АудитЭффективности.md, RC-17 (публичный оригинал blocked, содержит private session metadata). Archive blocker/triage. Verified root revisiondc030f84c979cedb2628ef4bd97c62d6c63a9256не фиксирует global config. Confidence Medium current state; Verification status runtime-unverified.Affected configuration:
~/.config/opencode/opencode.jsonchistorical line16; текущий range неизвестен. Git permalink намеренно отсутствует: файл вне Git и публиковать его нельзя.Scope
In scope
Private owner inspection, live/placeholder/revoked determination; rotation/revocation только при подтверждённом live credential и owner authority.
Out of scope
Вывод/копирование token, raw config/log dump, публичная private session history, изменение application source, новый secret manager.
Proposed Approach
Проверить метаданные/назначение без записи значения в tools/logs. При live value existing environment reference и owner-managed rotation; если уже исправлено/placeholder — KEEP/NO_ACTION с non-sensitive evidence.
Acceptance Criteria
Verification
Private configuration/status review и owner-approved minimal provider functionality; public Git/API outputs только sanitized outcome. Application tests не нужны.
Dependencies
Local config/provider owner input. Root repository — coordination location, не владелец credential storage; assignee не угадывается.
Traceability
Campaign #23 . Finding RC-17. WealthLedger/main coordination; behavior owner global local configuration; T36.