中HT-DATA-001同一模块同时接触凭据与网络
置信度 中L2 · 静态分析
lib/index.js:31GitHub
31credential access at line 31 + outbound network at line 49
模型研判功能所需
key仅从env或本地auth.json中opencode-go条目读取，并通过node子进程fetch发往其官方用量接口https://opencode.ai/zen/go/v1/usage，正是同一服务商用于查询自身额度，属于插件核心功能。
同一执行边界同时拥有秘密读取和对外发送能力，已形成直接的数据外传路径；对模型接入类插件这通常是功能本身。
修复建议拆分能力边界、限定目的域名，并证明不会发送凭据值。
