代码泄露

凌晨三点十七分，代码泄露我的代码泄露手机屏幕亮了。不是代码泄露闹钟，是代码泄露GitHub的推送通知——某个私有仓库的访问权限被修改了。我揉着眼睛坐起来，代码泄露看到提交记录里多了一条message：“oops”。代码泄露

那行代码我认得。代码泄露三个月前我亲手写下的代码泄露支付回调验证逻辑，当时还跟同事吹牛说这玩意儿绝对万无一失。代码泄露现在它就那么赤裸裸地躺在公开分支上，代码泄露像被人扒光了扔在马路中间。代码泄露更讽刺的代码泄露是，那个“oops”的代码泄露提交者用户名，是代码泄露我自己的账号。

密码没丢，代码泄露双因素认证也没被绕过。后来查日志才发现，问题出在我两周前给前端同事开的临时token上——说好只用一天，我忘了撤销。就这么个疏忽，等于把自家大门的备用钥匙塞进了共享文件夹。

泄露的代码本身不算致命，核心加密模块我单独放在了另一套系统里。但那份代码里留着一堆调试用的注释，详细记录了数据库表结构、第三方服务的API密钥存放位置，甚至还有运维同事的工位图。你永远不知道攻击者会从哪块碎片里拼出完整的地图。

最让我后背发凉的是时间线。那个token在凌晨两点四十七分被使用，而我的手机通知延迟了整整三十分钟才响。三十分钟，足够把整个仓库打包下载十遍。那天晚上我盯着访问日志看了四个小时，发现攻击者先翻了issues列表，又看了wiki，最后才碰代码——人家比我们团队自己人都熟悉项目结构。

事后复盘时，安全顾问问我：“你们有没有想过，为什么攻击者要留个‘oops’的提交记录？”我愣住了。他说这种手法通常是试探，看看运维团队的响应速度。如果我们没发现，下次就是真正的恶意代码了。敢情人家是在踩点，我们连被踩了都没反应过来。

现在我的电脑上贴着一张便签：“token过期时间=24小时，不是永久”。旁边还有一行小字，是我后来加上的：“也别相信自己的记性”。那天的教训让我养成了个习惯，每次给任何人开权限，都会设个日历提醒。有点神经质，但总比凌晨三点被手机吵醒强。

代码这东西，就像房间里的空气。你平时感觉不到它的存在，直到某天窗户被人撬开，才发现自己连通风口都没关。技术上的漏洞可以打补丁，但人的惰性和侥幸心理，才是永远补不完的后门。那个“oops”现在还在我的提交历史里躺着，像根刺，提醒我有些错误犯一次就够了。

本文地址：http://www.79wt.cn/news/079d1999901.html