代码资产梳理在查什么
组织的公开代码仓库是一座信息富矿：技术栈与依赖版本、部署方式、配置示例里的内网网段与域名规律，甚至历史提交里被删掉的凭据。梳理的目标是完善技术画像并发现泄露线索，方式是只读浏览公开仓库的元数据与可见内容。私有库、内部 Git 服务不在这个范围内，仓库里的脚本一律不执行——把别人的代码跑在自己机器上是风险最高的一类越界。
基本信息
| 梳理对象 | 组织账号下的公开仓库清单 |
|---|---|
| 梳理字段 | 仓库名、语言、最近提交时间、是否含配置示例 |
| 线索类型 | 技术栈与依赖、部署方式、内网命名规律、历史泄露 |
| 处置方式 | 泄露线索单独记录，按约定流程移交客户 |
| 统计口径 | fork 与已归档仓库单独标注，不计入活跃资产 |
典型使用场景
- 技术画像补充：从依赖清单推断组件版本与升级水位
- 发现泄露线索：配置示例、测试脚本里的密钥与内网地址
- 资产梳理时识别未登记的服务域名与网段命名规律
- 评估第三方组件风险：仓库依赖是否包含已停止维护的组件
- 为客户提供代码泄露自查建议：历史提交与构建产物两条线
梳理字段
梳理字段
仓库名 | 语言 | 最近提交 | 是否活跃 | 是否含配置示例
敏感线索：单独记录，标注仓库、文件路径与提交版本
置信度标注：示例配置（低） / 真实凭据（高，需立即移交）
不执行仓库中的任何脚本，不克隆镜像到测试环境运行线索类型与处置
| 线索类型 | 处置方式 |
|---|---|
| 配置示例与占位符 | 作为技术栈旁证，不当作真实凭据 |
| 疑似真实密钥或令牌 | 脱敏记录，按约定渠道立即移交客户 |
| 内网地址与域名规律 | 用于资产梳理线索，验证前先确认范围 |
| 历史提交中的删除内容 | 只记录结论，不扩散提取到的内容 |
只读梳理公开仓库，不克隆私有仓库，也不下载仓库依赖做本地构建：这两类动作都会引入额外风险。
在公开仓库中发现有效凭据时，不要自行登录验证其权限：验证动作会让测试方承担使用客户凭据的责任，正确做法是记录证据并立即通知客户轮换。