3   可能危害

因為要使用持續整合系統，所以對於前端靜態檔案的釋出也必須要使用自動化，使用自動化就必須避免互動式的密碼輸入。而git中避免使用互動式密碼輸入，主要有如下幾種方法：

1. .netrc 儲存明文賬號和密碼
2. 在 url 中帶明文賬號和密碼
3. 使用 ssh-key 進行鑑權

當然，由於筆者使用的 ssh-key，所以並沒有千萬過多的隱私洩露，將危害控制到了最小（基本只洩露了這個倉庫的名稱資訊，並沒有危害）。

檢視使用的 ssh-key 鑑權方式下的 .git/config 的內容：

[core]
        repositoryformatversion = 0
 

        filemode = true
        bare = false
        logallrefupdates = true
[remote "origin"]
        url = [email protected]:myteam/web-app-front.git
        fetch = +refs/heads/*:refs/remotes/origin/*
        [branch "master"]
        remote = origin
        merge = refs/heads/master

但是，筆者不禁想起，以比較早期的時候，為了避免反覆輸入密碼，曾經使用過在 url

git clone https://username:[email protected]/myteam/web-app-front.git

即，把賬號和密碼放在url裡面可以免去反覆互動式輸入賬號密碼的繁瑣操作。這樣的話 .git/config 就會包括如下內容了：

[remote "origin"]
        url = https://username:[email protected]/myteam/web-app-front.git

顯然，如上的疏忽就會導致如下內容被洩露：

• 賬號名：username
• 密碼：password
• 服務網站：github.com
• 專案組代號：myteam
• 專案倉庫名稱：web-app-front

然後黑客就可以輕鬆開啟服務網站，使用指定的賬號和密碼登入。然後瀏覽開發人員所在組的所有程式碼，然後程式碼裡面可能包含如下的內容：

• 資料庫賬號密碼
• 伺服器IP
• 伺服器賬號密碼
• 其它隱私資訊

將會完全被洩露出去，可以說，這樣一個小疏忽會導致全線崩盤，這並不是聳人聽聞。