From b64c3c05efcebe781d27ef7b944257f26ce71679 Mon Sep 17 00:00:00 2001
From: Linghong <ink29535@proton.me>
Date: Fri, 7 Aug 2026 03:36:25 +0000
Subject: [PATCH] =?UTF-8?q?=E8=AE=B0=E5=BD=95=E8=B0=83=E8=AF=95=E8=BE=93?=
 =?UTF-8?q?=E5=87=BA=E6=95=8F=E6=84=9F=E9=85=8D=E7=BD=AE=E9=81=97=E7=95=99?=
 =?UTF-8?q?=E9=97=AE=E9=A2=98?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

补充 AppConfig 与 AppState 调试输出的既有风险、审查归属和后续修复边界。
---
 ...State调试输出敏感配置泄漏-Master遗留-2026-08-07.md | 18 ++++++++++++++++++
 1 file changed, 18 insertions(+)
 create mode 100644 docs/project-memory/todos/【已知问题】AppConfig与AppState调试输出敏感配置泄漏-Master遗留-2026-08-07.md

diff --git a/docs/project-memory/todos/【已知问题】AppConfig与AppState调试输出敏感配置泄漏-Master遗留-2026-08-07.md b/docs/project-memory/todos/【已知问题】AppConfig与AppState调试输出敏感配置泄漏-Master遗留-2026-08-07.md
new file mode 100644
index 000000000..afa30190e
--- /dev/null
+++ b/docs/project-memory/todos/【已知问题】AppConfig与AppState调试输出敏感配置泄漏-Master遗留-2026-08-07.md
@@ -0,0 +1,18 @@
+# AppConfig 与 AppState 调试输出敏感配置泄漏：Master 遗留问题
+
+状态：已确认的 `master` 既有安全债务；不在 `feat/sound_opt` 分支修复。
+
+## 事实
+
+- `AppConfig` 在 `master` 已派生 `Debug`，并持有 JWT、内部 token、OSS、微信、LLM、VectorEngine 等敏感配置。
+- `AppStateInner` 也派生 `Debug` 且直接持有完整 `AppConfig`，因此完整 Debug 输出可能递归暴露敏感值。
+- T3 仅新增 `elevenlabs_api_key` 到该既有泄漏面，不是该问题的根因。
+- 当前未发现生产代码主动打印完整 `AppConfig` 或 `AppState`，风险等级维持 P2。
+
+## 审查归属
+
+后续 SFX V2 / `feat/sound_opt` 阶段审查将此项视为已知 master 遗留问题，不再作为本分支或 T3–T5 的新增缺陷重复报告。只有用户发起专项安全审查，或该共享层修复后发生回归时，才重新核对。
+
+## 后续修复建议
+
+在独立的 master 安全维护工作中，为 `AppConfig`、`AppState` 及其嵌套诊断对象统一实现脱敏 Debug（或 secret wrapper），并以唯一哨兵值回归测试确保日志、错误和 tracing 输出不含原始秘密。