项目源码安全审查—密钥硬编码问题
密钥硬编码问题的危害
将密钥直接硬编码在源代码中会导致严重的安全风险：
- 密钥可能被逆向工程或反编译获取，尤其是开源项目或移动端应用。
- 泄露的密钥可能被用于未授权访问API、数据库或其他敏感资源。
- 代码仓库的历史记录可能暴露旧版本中的密钥（如Git提交记录）。
检测密钥硬编码的方法
静态代码分析工具：
使用工具扫描代码库中的常见密钥模式（如API_KEY=, password=, JWT密钥等）。推荐工具：
- GitGuardian：专用于检测Git仓库中的敏感信息。
- TruffleHog：扫描Git历史中的高熵字符串（如密钥）。
- gitleaks：基于规则匹配的密钥检测工具。
正则表达式匹配：
通过正则表达式定位可能的密钥硬编码，例如：
# 匹配类似AWS密钥的模式
pattern = r'(?i)(access_key|secret_key|api_key)\s*[:=]\s*[\'"][a-z0-9]{20,40}[\'"]'
修复密钥硬编码的方案
环境变量存储：
将密钥移至环境变量中，通过运行时加载：
import os
api_key = os.environ.get("API_KEY")
配置文件加密：
对包含密钥的配置文件加密，运行时解密（如使用AWS KMS或Vault）。
密钥管理服务（KMS）：
使用专业服务管理密钥（如AWS Secrets Manager、Hashicorp Vault），动态获取密钥而非硬编码。
预防措施
- 代码审查：在合并请求中强制检查密钥硬编码。
- .gitignore：排除含敏感信息的配置文件。
- 密钥轮换：定期更新密钥并废弃旧密钥，降低泄露影响。
自动化集成
在CI/CD流程中加入密钥扫描步骤，例如GitHub Actions集成gitleaks：
- name: Scan for secretsuses: gitleaks/gitleaks-action@v2