代码仓库泄露自查
组织的公开代码仓库、个人项目与代码片段分享是目前最常见的敏感信息暴露源之一：密钥、内部地址、数据库连接串、测试账号常被写在示例配置或历史提交中。评估环节的自查方式是只读核查——定位文件路径与信息类型并移交客户处置，不下载内容，更不使用发现的凭据做任何登录尝试。
基本信息
| 核查对象 | 组织公开仓库、个人项目、代码片段分享 |
|---|---|
| 常见线索 | 示例配置、说明文档、历史提交记录 |
| 核查方式 | 按组织名与项目关键词检索，只读查看 |
| 处置方式 | 记录路径与信息类型，移交客户清理并轮换 |
| 纪律 | 不下载内容、不使用发现的凭据登录 |
典型使用场景
- 核对组织公开仓库是否包含内部网络地址与主机名
- 检查示例配置文件是否残留可用的连接串与密钥
- 检查自动化脚本与部署文件中是否硬编码凭据
- 检查历史提交中是否遗留已删除但可回溯的敏感内容
- 为整改提供依据：哪些仓库需要转私有或清理历史
核查方式
核查方式
# 按组织名检索公开仓库，先建立仓库清单
# 检查说明文档与示例配置中的连接串、密钥字样
# 检查部署脚本与流程配置文件中的硬编码凭据
# 发现敏感内容：仅记录仓库、文件路径、信息类型
# 记录发现的提交时间，注明是否属于历史遗留线索类型读法
| 线索类型 | 典型位置 | 处置建议 |
|---|---|---|
| 访问密钥 | 示例配置、部署脚本 | 立即轮换密钥并清理提交历史 |
| 内部地址 | 文档、注释、日志样例 | 确认是否仍在使用，评估暴露面 |
| 测试账号 | 测试脚本、说明文档 | 禁用或轮换，避免与生产环境同名 |
| 凭据占位符 | 模板配置 | 确认是否为占位符，避免误判为缺陷 |
公开仓库泄露属于自查提醒范畴：核查目的是让客户清理与轮换，不是获取与利用。
用发现的凭据登录任何系统都构成未授权访问，即使凭据来自客户自己的公开仓库。