安全注意事项

版本控制安全

Git作为分布式版本控制系统，安全性直接影响代码库的完整性。配置.gitignore文件避免敏感信息提交：

// 错误示例：提交了配置文件
/* config.json */
{
  "database": {
    "host": "prod-db.example.com",
    "password": "s3cr3tP@ss"
  }
}

必须将这类文件加入忽略列表：

# .gitignore
config.json
*.env
node_modules/

访问权限管理

仓库访问控制是基础安全措施：

1. SSH密钥强度：至少使用4096位RSA密钥

ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

2. 分支保护规则：

   • 强制代码审查（至少1个approve）
   • 禁止强制推送
   • 要求通过CI检查

3. 最小权限原则：开发者只授予必要权限

提交规范与审计

每次提交都应包含可追溯信息：

git commit -m "fix(auth): patch CVE-2023-1234 in JWT validation

- Add token expiration check
- Verify signature algorithm
- Related to security ticket #SEC-5678"

审计日志检查命令：

git log --pretty=format:'%h %an %ad %s' --date=iso --grep='security'

敏感数据处理

已提交的敏感信息需要彻底清除：

1. 使用BFG工具清理历史记录：

java -jar bfg.jar --replace-text passwords.txt repo.git

2. 密钥轮换流程：

AWS_ACCESS_KEY=AKIA1234567890  # 必须立即撤销

3. 使用git-secrets预防性检测：

git secrets --install
git secrets --register-aws

依赖安全

第三方依赖可能引入漏洞：

// package.json示例风险配置
"dependencies": {
  "legacy-package": "^1.0.0", // 已知存在RCE漏洞
  "unmaintained-lib": "git+ssh://git@example.com/repo.git" // 不可控源码
}

安全实践：

• 定期执行npm audit
• 锁定依赖版本
• 验证子模块来源

持续集成安全

CI/CD管道需要特别防护：

# 不安全的.gitlab-ci.yml示例
deploy:
  script:
    - echo $SSH_PRIVATE_KEY > key.pem # 密钥明文存储
    - scp -i key.pem ./dist user@server:/path

改进方案：

1. 使用CI系统密钥管理
2. 限制构建环境网络出口
3. 实施构建产物校验

仓库维护安全

定期执行仓库健康检查：

# 检测悬空对象
git fsck --full

# 清理历史大文件
git filter-branch --tree-filter 'rm -f large_video.mp4' HEAD

操作前必须创建备份：

git bundle create backup.bundle --all

协作流程安全

代码审查时需注意：

1. 警惕伪装成代码的恶意提交：

# 看似无害的空白修改
- const isValid = (input) => {
+ const isValid = (input) => { 
  // 实际添加了零宽度字符

2. 验证GPG签名：

git verify-commit HEAD

3. 使用--verify-signatures选项合并代码

紧急响应措施

发现安全事件时的处理步骤：

1. 立即撤销相关凭证
2. 创建安全分支进行修复：

git checkout -b security-hotfix
git push origin security-hotfix --force

3. 记录事件时间线：

| 时间戳          | 操作人   | 措施描述                  |
|-----------------|----------|-------------------------|
| 2023-08-20T14:30 | admin    | 重置所有开发者API密钥    |

自动化监控

实施实时安全监控：

# 示例钩子脚本检测敏感信息
import re

def pre_commit():
    banned = [r'passw(or)?d', r'secret', r'api_?key']
    changes = os.popen('git diff --cached').read()
    for pattern in banned:
        if re.search(pattern, changes, re.I):
            print(f"⚠️ 检测到敏感词 {pattern}")
            sys.exit(1)

物理设备安全

开发终端设备防护要点：

1. 全盘加密存储
2. Git配置分离敏感信息：

[credential]
    helper = store --file ~/.secure/git-credentials

3. 禁用全局配置：

git config --global --unset credential.helper

历史记录清理

彻底清理特定文件历史：

git filter-repo --path confidential.docx --invert-paths

清理后必须通知所有协作者：

所有成员必须：

1. 删除本地副本
2. 执行以下命令：
   ```bash
   git fetch --all --prune
   git rebase origin/main