Vitest 5 开发服务器未应用 fs.deny 致文件泄露

GitHub 安全公告指出，Vitest 5 的开发服务器未按预期应用 Vite 的 server.fs.deny，能访问该服务器的客户端可通过明文 HTTP 读取 .env、私钥与证书、.npmrc、.git 以及 Vitest 的 API token 文件 .vitest-secret-token。 该问题只在 Vitest 运行 HTTP 服务器时出现，即启用 UI（--ui）、Browser Mode 或 api 时；直接运行 vitest 和 vitest run 不监听端口，不受影响，Vitest 4 及更早版本也不受影响。 公告建议在根 Vitest 配置中显式设置 server.fs.deny，包含所用 Vite 版本的默认列表和该 token 文件。

AI 根据报道生成 · 18 小时前更新