Proxy URL log can expose proxy credentials

Reproducible in:

The Slack SDK version

slack_sdk==3.39.0

Python runtime version

Python 3.11.10

OS info

22.04.1-Ubuntu SMP Tue Dec 2 12:52:18 UTC 2025

Steps to reproduce:

Run the following

import os
from slack_sdk.web import WebClient
import logging
os.environ["HTTPS_PROXY"]="http://bob:secret@example.com"

logging.basicConfig(level=logging.DEBUG)
x = WebClient(token='fake')

Expected result:

The credentials part of the proxy URL should be redacted or the URL not printed at all.

Actual result:

The full URL gets printed, including user:pass

DEBUG:slack_sdk.web.base_client:HTTP proxy URL has been loaded from an env variable: http://bob:secret@example.com

Commencez dans slack_sdk.web.base_client, où WebClient charge HTTPS_PROXY et émet le message de débogage présenté dans la reproduction. Suivez le chemin de journalisation de l’URL du proxy, puis vérifiez avec l’exemple fourni en Python 3.11 que les identifiants ne sont pas exposés dans la sortie de débogage, et ajoutez ou mettez à jour la couverture de non-régression si le dépôt contient un emplacement de test approprié.