给 Helm 提一个 PR，重温开源项目参与过程

逛社区

注：这一篇文章发出来后，又用 GPT-4 重写了一次代码，详情见《给 Helm 修复一个 Bug - 每天5分钟玩转 GPT 编程系列(2)》。为了独立成文，两篇文章都加了一些开头结尾，所以部分重复。本文更加侧翻阅源码重定位 Bug 的过程，隔壁那篇侧重用 GPT-4 写代码的过程。

酒足饭饱，闲来无事，打开 Helm 项目的 issues 列表，咦，这个 issue 看起来眉清目秀呀：

其实一点都不“眉清目秀”，这段 issue 描述太冗长了，没有任何排版，看起来很累。咱就看关键词吧：helm upgrade，sensitive data，error，好的，这就够了，加在一起就是说当 helm upgrade 命令执行失败的时候，可能回导致敏感数据泄露。

盘它！

领任务

尽管已经有人留言认领这个任务，不过看描述似乎他并不会马上开始编码，而是希望进一步沟通方案。好办好办，转给我吧：

倒是挺干脆，分分钟就 assign 给我了。

不过，其实，这会我并不知道怎么修复这个 bug，我也不熟悉 Helm 的源码，外加已经小半年没咋写过 Golang 了，其实心里挺慌。试试看吧，究竟是宝刀未老还是老骥伏枥。

复现 Bug

要修复 Bug，第一步自然是先看能不能稳定复现。外加 issue 描述里其实我看不出来如何复现，也不是太看清楚问题现象是什么，总之，复现问题是当务之急。

用 GPT-4 来准备 Bug 复现材料

• 我的需求

下面就是想想自己需要啥材料，然后抛给 GPT。或许我可以这样说：

我发现 Helm 在执行 upgrade 的时候，如果出错，会导致 Secret 里的数据被明文打印出来，存在敏感数据泄露风险。现在我想复现这个问题，我设想的步骤是这样的：
1. 构造一个包含 Secret 的正常的 Helm Chart，Secret 里的数据是从 values.yaml 里读取的，values.yaml 中直接使用 base64 编码字符串，而不是在 secret.yaml 中使用 b64enc；
2. 然后执行 helm install，此刻应该没有问题异常；
3. 修改 values.yaml 中的 base64 字符串，让其非法（比如删除一个结尾的“=”）；
4. 执行 helm upgrade 命令，看结果是不是存在敏感数据泄露。
请告诉我相关命令和操作等。

• 将需求告诉 DevChat

• DevChat 给出的完整回答

首先，我会概括你的需求：

• 你想要复现一个问题，该问题是在使用 Helm 进行 upgrade 操作时，如果出错，会导致 Secret 中的数据被明文打印出来，存在敏感数据泄露风险。
• 你已经设想了一些步骤，包括创建一个包含 Secret 的 Helm Chart，然后进行一些操作来触发这个问题。
  下面是我为你准备的相关命令和操作：

1. 创建一个包含 Secret 的 Helm Chart。首先，你需要创建一个新的 Helm Chart，可以使用以下命令：

helm create mychart

然后，你需要在 mychart/templates 目录下创建一个新的文件 secret.yaml，并添加以下内容：

apiVersion: v1
kind: Secret
metadata:
  name: mysecret
type: Opaque
data:
  mykey: {
    {
     .Values.mysecret.mykey }}

在 mychart/values.yaml 文件中，添加以下内容：

mysecret:
  mykey: "SGVsbG8gd29ybGQ="  # "Hello world" 的 base64 编码

2. 执行 helm install 命令。在你的 Helm Chart 目录（即 mychart）下，执行以下命令：

helm install myrelease .

此时，应该没有任何问题或异常。

3. 修改 values.yaml 文件中的 base64 字符串，让其非法。你可以将 values.yaml 文件中的 mykey 值修改为一个非法的 base64 字符串，例如删除一个结尾的“=”：

mysecret:
  mykey: "SGVsbG8gd29ybGQ"  # 非法的 base64 字符串

4. 执行 helm upgrade 命令。在你的 Helm Chart 目录下，执行以下命令：

helm upgrade myrelease .

此时，你应该能看到错误信息，包括你的 Secret 数据。

以上就是复现你所说问题的步骤。如果你在执行这些步骤时遇到任何问题，或者需要更多的帮助，欢迎随时向我提问。

对着 GPT-4 给的命令复现 Bug

DevChat 诚不我欺啊，一顿复制粘贴敲键盘，最后我看到了这个：

注意这个错误日志里的这部分：

Error: UPGRADE FAILED: cannot patch "mysecret" with kind Secret:  "" is invalid: patch: Invalid value: "{\"apiVersion\":\"v1\",\"data\":{\"mykey\":\"SGVsbG8gd29ybGQ\"}……

这里的 mykey: SGVsbG8gd29ybGQ 看起来似乎不太敏感，不过它其实意味着假如你存了10个密码在 Secret 里，当更新的时候写错了一个，其他正确的9个会被无差别打印出来。这个日志里包含的是一个未脱敏的完整的 Secret 资源实例内容。

定位 Bug

从日志里来看，JSON 部分大概率是 K8s 相关的库返回的内容，Helm 里直接拼接到自己日志里打印出来了。我们需要找到最接近这个“K8s 相关调用”的地方，然后找到这串日志怎么来的，再加一层“脱敏”。

1. 搜索关键字“UPGRADE FAILED”

太幸运了，只有一个结果（明显是 upgrade.go 这里），那就长刀直入吧：

rel, err := client.RunWithContext(ctx, args[0], ch, vals)
if err != nil {
   
	return errors