密钥硬编码与明文存放：检测与治理

密钥、证书私钥与口令出现在代码、配置文件、镜像与 CI 变量中，是密码应用检查与代码审计的高频问题；应改为 KMS/密码机托管并配置轮换。

快速排查命令

# 在代码库中排查疑似硬编码凭据
grep -rnE "(secret|passwd|password|api[_-]?key|private[_-]?key)\s*[:=]" --include="*.py" --include="*.java" . | head -20

1 建立密钥台账：位置、用途、责任人、轮换周期
2 迁移到 KMS/密码机，应用仅持有引用或短期凭据
3 CI/CD 使用密钥管理服务注入，避免写入镜像与日志
4 历史泄露密钥立即轮换并核查使用记录

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌