A3 · demo-http.fetch

脱敏：HTTP 请求里的 API Key

URL / Authorization 含密钥。策略 redact 后再放行，审计里只见 ***REDACTED***。

期望：action = redact，明文密钥不落审计

实际：action=redact · risk=60 · rule=redact-http-secrets · status=ok

脱敏后参数（审计可见）

{
  "url": "https://api.example.com?api_key=***REDACTED***",
  "headers": {
    "authorization": "***REDACTED***"
  }
}