待验证50% 置信事实精确时间
使用环境变量时，代码通过 process.env.XXX 直接读取到明文凭据，任何能访问该进程的代码都可能将其外泄。
1
来源数
50%
置信度
长期有效
时效性
2026/10/16
首次发现
来源
涉及实体
相关事实
待验证OpenCode 官方文档中的 .env protection 示例和 company.guard 示例都只针对 read 工具注册 execute.before 钩子，不拦截通过 shell 命令（如 cat）读取文件的行为。63% 相似待验证子进程从父Shell继承环境变量，新开终端窗口是全新Shell进程，其环境变量来自系统配置文件而非上一窗口手动设置的值62% 相似待验证PATH 环境变量的内容在被系统调用（如 execvp）读取时，不经过 shell 的展开流程，因此 PATH 中的 ~ 会被当作普通字符目录处理。62% 相似待验证OpenCode 迁移表将 v1 的 shell.env 钩子映射到 v2 的 ctx.shell.hook("create.before", ...)，该钩子可用于向命令环境注入变量，但抛错同样会使命令失败。62% 相似待验证在Windows系统上使用多进程时需要将代码放在if __name__ == '__main__'保护块中，否则会触发递归子进程创建错误59% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1049241API
curl https://kongchang.com/api/v1/knowledge/claims/1049241MCP
get_claim(id=1049241)