把API密钥从代码挪到配置文件，是整理的开始。配置文件是否进入仓库、被Web访问或写进日志，仍会决定它是否泄漏。
先画出密钥流向
列出密钥从哪里读取、传给哪个服务、是否会出现在异常信息和调试输出。环境变量也不是自动安全的保险箱，运行权限、部署配置和日志习惯同样重要。浏览器端代码中不能藏住服务器秘密。
示例文件只写占位符
提交给协作者的配置示例应保留变量名和用途，不包含真实值。将本地秘密文件排除在版本控制之外，同时检查它是否曾经被跟踪。忽略规则不会自动删除历史提交中的内容。
泄漏后优先使旧值失效
确认暴露时，应在服务端撤销或轮换密钥，并排查受影响调用，再处理代码、日志和历史记录。只删除页面上的字符串不能让已复制的密钥失效。为不同用途分配独立、最小权限凭据，也便于追查与替换。
参考与延伸阅读
OWASP 安全实践文档。本文的学习步骤和练习为本站整理；涉及具体产品或工具时，请同时核对当前版本说明。
资料查阅与编辑日期：2026年9月22日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
