内容摘要：凌晨两点十七分，监控大屏上跳出一条红色告警。我盯着那条来自某政府门户网站的敏感路径请求，后背发凉——对方的User-Agent居然是我们自己内网运维工具的标识。这不是巧合，是有人拿着我们泄露的源代码，

凌晨两点十七分，检测监控大屏上跳出一条红色告警。到目代码我盯着那条来自某政府门户网站的标网敏感路径请求，后背发凉——对方的站源User-Agent居然是我们自己内网运维工具的标识。这不是泄露巧合，是检测有人拿着我们泄露的源代码，在反向探测生产环境。到目代码

事情得从三天前说起。标网渗透测试组在例行扫描时，站源发现目标站点的泄露/js/config.js文件里硬编码着数据库连接串。更离谱的检测是，注释里写着“临时测试用，到目代码上线前删除”。标网没人删。站源现在这套源码已经出现在某个暗网交易帖里，泄露标价0.3个比特币，附带实时抓取的服务器指纹数据。攻击者根本不需要再费劲爆破，他们直接照着源码里的逻辑写脚本就行。

泄露的入口往往不起眼。可能是某个离职员工的GitHub仓库，他把自己写的接口文档传了上去，里面带着内网IP段和认证方式。也可能是供应商的运维后台，默认口令三个月没改，被扫出来之后顺藤摸瓜拖走了整个代码库。我见过最荒唐的一次，是某甲方把源码打包发到微信传输助手，然后手机丢了。

代码泄露的直接后果不是“被看到”，而是“被理解”。攻击者拿到源码后，能精准找到鉴权逻辑的薄弱分支，能知道哪些接口存在越权风险，甚至能通过代码注释里留下的服务器路径，直接定位到内网文件系统。这相当于你把自家保险柜的图纸贴在了大街上，然后问路人为什么知道密码是生日。

我们上周处置的一个案例更典型。某电商平台的前端源码泄露，里面包含一个隐藏的调试接口，可以绕过支付金额校验。攻击者利用这个接口下单了五百台最新款手机，每台价格改成一毛钱。等风控发现异常时，仓库已经发出三百多单。事后追溯发现，泄露源头是外包开发人员把代码提交到了公共npm包，他图省事，没设私有权限。

别指望靠安全设备兜底。WAF能拦已知攻击特征，但源码泄露意味着攻击者手里有你的“原代码”，他们构造的请求天然就是“合法”的。你设置的任何规则，在代码逻辑面前都是透明的。唯一有效的止损方式，是立刻轮换所有密钥、重写鉴权模块、下线被曝光的接口——但每一条都在跟业务抢时间。

最讽刺的是，很多泄露根本防不住。开发商用IDE插件时，自动上传代码到云端仓库做备份，默认配置是公开的。或者测试环境连了生产数据库，而测试代码托管在码云上，没设访问密码。这些不是技术漏洞，是流程漏洞。可一旦出事，技术团队背锅，领导问“为什么不上代码审计工具”，没人敢说“审计工具本身也依赖代码库权限管理”。

现在这个案子还在处理。对方利用泄露源码里的定时任务代码，尝试往服务器写入计划任务。好在我们提前改了日志路径，让他们的后门脚本扑了个空。但谁也不敢保证下次还这么走运。源代码就像房子的施工图，一旦流出去，你所有的装修和加固都成了笑话。唯一能做的，是赶紧把承重墙换掉，顺便祈祷对方没仔细看图纸。