我泄露了 API 密钥并吸取了无聊的教训

我将 API 密钥粘贴到脚本中，将其提交给我认为是私有的存储库，三天后收到了一笔我不认识的费用。没有人黑我。我刚把门开着，就有人走了进来。

修复工作既无聊又彻底：旋转密钥，将机密移至环境变量，添加预提交检查，在密钥形状的字符串离开我的机器之前捕获它。没有一个是聪明的。所有这一切都是必要的。

让我惊讶的是速度。不良费用出现的速度比我注意到自己代码中的拼写错误要快。机器人会在几分钟内抓取公共存储库中的密钥，而被推送到公共任何地方的存储库就是即将发生的泄漏。

现在，当每个键接触到可以共享的文件时，我都会将其视为已烧毁。使用变量而不是文字所花费的十秒钟已经不止一次地得到了回报。

没有人警告您这一点，因为它不是一个功能。这是卫生。但无论违规行为是迷人的还是粗心的，账单都是一样的，而我的是第二种。