unbridled-41 commented on PR #4286:
URL:
https://github.com/apache/rocketmq-dashboard/pull/4286#issuecomment-5657461126
**撤回本 PR：HTTP 层实测推翻了缺陷前提。**
按仓库贡献要求做最终实测验证时，我写了一个 HTTP 层 scratch 测试（`@WebMvcTest(K8sCertController)` +
`@Import(AuthWebConfig)` + reader 会话），在基线 6c24d2ed 上实测：
```
GET /api/k8s-certs (Authorization: Bearer reader-token) → 200
jsonPath("$.data[0].keyPem") → "No value at JSON path"
```
响应中**不含 keyPem**。原因：`K8sCertVO.keyPem` 带 `@JsonProperty(access =
JsonProperty.Access.WRITE_ONLY)`（K8sCertVO.java:49-50）——Jackson
在任何响应序列化（list/create/update）中都**从不输出**该字段，仅接受入参反序列化。
因此本 PR 声称的"reader 可通过 GET /api/k8s-certs 收到私钥 PEM"**不成立**：私钥从未离开服务端。本 PR 的
ServiceTest 红灯只是证明了内存 VO 的内部契约（listCerts 返回的 Java 对象携带
keyPem），没有跨越序列化边界，不构成用户可见缺陷的证据——是我验证不彻底，误把内部契约当作了暴露面。前端"仅保存，不会在页面展示或返回"的说明与实际行为一致。
按 AGENTS.md"无调用路径/用户可见错误行为不作为 Bug"与诚实原则，撤回本 PR 并关闭对应 Issue #4281。修复本身（列表路径置空
keyPem）无副作用但也无用户可见收益，不应占用评审资源。感谢这类复测要求——它抓住了一个真实的验证漏洞。
--
This is an automated message from the Apache Git Service.
To respond to the message, please log on to GitHub and use the
URL above to go to the specific comment.
To unsubscribe, e-mail: [email protected]
For queries about this service, please contact Infrastructure at:
[email protected]
