密钥泄露：那些意外公开的潘多拉魔盒

那天发生了什么

一个深夜，开发者在提交代码时，不小心将用于开启云端付费服务的 API Key 一并上传到了公开的 GitHub 仓库中。仅仅几分钟后，全网自动扫描机器人就抓取到了这把“钥匙”，并开始疯狂调用相关服务。等第二天早上开发者醒来时，账户已经产生了数千美元的欠费账单。

问题出在哪里

这起事故的根源，在于缺乏对公开仓库的防范意识。很多人以为自己的开源项目无人问津，却忽略了公开代码库其实时刻暴露在全网爬虫的扫描之下。

怎么避免重蹈覆辙

请永远记住：钥匙，绝对不能和代码混装在一起！

更安全的做法是使用“环境变量”来统一保管密钥，并配合使用一些密钥扫描工具在提交代码前进行检测。如果不慎发生泄露，应立即在云服务平台停用并重置该密钥，以防止损失进一步扩大。

急救 / 黄金防护 Prompt

🚨 发生密钥泄露时的急救 Prompt

如果你怀疑自己不小心把密钥传上去了，可以参考以下 Prompt 发送给 AI 助手，协助你锁定和清理泄露口：

我刚刚不小心把第三方服务的私密 API 密钥硬编码写在代码中，并推送到公开的托管仓库中了。请立刻帮我执行以下应急步骤：
1. 帮我扫描并检查当前项目中所有可能硬编码了敏感密钥的文件；
2. 帮我配置或生成版本控制忽略规则，确保本地存放敏感变量的配置文件不会被再次提交到仓库；
3. 告诉我如何将代码中现有的密钥替换为通过环境变量安全读取，并提供对应的代码重构修改示例。