源代码泄露漏洞

凌晨两点，源代某电商平台的码泄后台日志里突然出现一串异常查询。攻击者用的露漏是一个早已被遗忘的测试账号——密码还是默认的admin123。他顺着接口漏洞，源代把整个用户数据库像拉抽屉一样拖了出来。码泄三个小时后，露漏四百万条包含身份证号和银行卡信息的源代记录，出现在暗网交易帖里。码泄这不是露漏电影情节，是源代上个月真实发生的泄露事件。而根源，码泄就是露漏一段被程序员随手扔在GitHub上的源代码。

源代码泄露这事儿，源代比你以为的码泄普遍得多。不是露漏只有黑客攻破防火墙才算泄露。开发人员把代码传到公开仓库当备份，离职员工带走公司核心算法，第三方外包商把项目代码打包发错邮件——这些渠道，每一条都像没关紧的水龙头。我认识一个安全工程师，他没事就在GitHub上搜关键词，专门找那些写着“internal”“do not upload”的仓库。他说，平均每周能挖到两三家公司的敏感代码，有的连云服务器密钥都写在配置文件里，明晃晃的，像把家门钥匙挂在门口地垫下。

代码本身不会说话，但代码里的注释会。有些程序员习惯在注释里写服务器地址、数据库密码，甚至业务逻辑的漏洞提示。这些信息对攻击者来说，等于拿到了一份带标注的地图。更麻烦的是框架和第三方库的版本号——只要知道你在用什么版本，就能去漏洞库里查已知的CVE编号，直接照着攻击脚本打。你辛辛苦苦写的业务逻辑，人家根本不看，光靠版本信息就能撬开门锁。

有个案例特别典型。某家做智能硬件的公司，产品固件里嵌了一段开源协议声明。就这一行字，暴露了他们用的芯片型号和SDK版本。攻击者顺藤摸瓜，找到该SDK的一个已知堆溢出漏洞，远程发送特定数据包，直接获得了设备root权限。整个智能家居系统成了人家的后花园，摄像头、门锁、温控器，全部失控。事后调查发现，源代码是从一个外包开发者的个人博客里泄露的——那哥们儿为了展示自己的作品，把完整项目代码贴了出来，包括生产环境的配置。

防这个事儿，光靠删帖和改密码没用。得从流程上堵。代码仓库设成私有是基本操作，但更关键的是权限管理——谁有拉取权限，谁有合并权限，离职后账号是否立刻注销，这些细节比技术手段更重要。还有一点容易被忽略：敏感信息扫描。在代码提交前用工具自动扫一遍，看有没有密钥、token、IP地址之类的硬编码。别嫌麻烦，一条硬编码的AWS密钥，可能比你整个安全团队一年干的活都值钱。

说到底，源代码泄露不是技术问题，是管理问题。再强的加密算法，也架不住有人把解密钥匙贴在显示器边上。代码这东西，一旦出了公司边界，就像泼出去的水，收不回来的。你唯一能做的，是让每一行代码从一开始就学会闭嘴——不携带任何不该携带的秘密。