——注释、硬编码 API Key、报错信息、Git 泄露攻击者是如何利用它们的你有没有想过很多网站被攻破并不是因为 SQL 注入也不是因为命令执行而是开发自己把钥匙放到了门口。一段 HTML 注释、一份 Git 仓库、一个写在 JS 里的 API Key都可能让攻击者几分钟内摸清整个系统。今天聊聊企业中最容易被忽略的一类安全问题——敏感信息泄露。什么是敏感信息泄露简单来说就是本不应该公开的信息被未授权用户获取了。例如数据库账号密码、API Key、AccessKey、Token、Cookie、Git 源码、配置文件、报错信息、后台地址等。这些信息单独看可能不起眼但组合起来往往足以帮助攻击者进入系统。攻击流程通常如下信息收集 → 发现敏感信息 → 获取账号/密钥 → 登录后台或调用接口 → 数据泄露。常见的敏感信息泄露位置1. HTML 注释别以为用户看不到开发调试时常会留下这样的内容!-- adminadmin123 --!-- 新后台http://test.example.com/admin --虽然页面不会显示但任何人都可以通过查看网页源码看到这些内容。建议上线前删除所有调试注释不要在注释中保存账号、密码或内部地址。2. JavaScript 文件千万不要把 API Key 写在前端前端 JS 文件经常会包含接口地址、调试配置甚至有人会把 API Key 写进去const API_KEY xxxxxxxx;由于 JS 会被浏览器下载任何访问网站的人都可以查看。记住一句话真正需要保密的数据永远不要放在前端。前端代码可以公开但真正的密钥永远不能公开。3. Git 仓库泄露一次泄露整个源码都没了如果生产环境开放了.git目录攻击者可能恢复整个源码仓库。源码中往往包含数据库配置、Redis 密码、JWT Secret、管理接口、历史提交记录等。这也是企业中最常见的信息泄露问题之一。Git 泄露最大的风险不是源码而是源码里的各种钥匙。4. 报错信息别把系统底牌告诉攻击者生产环境如果直接返回详细异常例如SQLSyntaxErrorException或者D:\project\web\攻击者就能知道数据库类型、服务器路径、框架版本等重要信息从而降低攻击难度。建议生产环境统一返回友好的错误页面详细日志仅保留在服务器。生产环境应该记录详细日志但展示给用户的错误信息越少越好。5. 配置文件和备份文件这些垃圾最容易出事很多企业会遗留.env、application.yml、config.php、backup.zip、website.bak等文件。这些文件可能包含数据库密码、云平台密钥等敏感信息。上线前一定要清理避免放在 Web 可访问目录。很多数据泄露不是因为漏洞而是因为忘了删除一个备份文件。6. Swagger、Actuator、Source Map方便了开发也方便了攻击者这些工具本来是为了方便开发和运维但如果直接暴露在生产环境就可能泄露接口文档、系统配置、环境变量、前端源码等。建议生产环境关闭或至少增加访问控制。开发工具可以保留但生产环境不应该对所有人开放。一个简单的攻击案例攻击者访问网站后没有急着扫描漏洞而是先查看robots.txt、swagger-ui、main.js、/.git等常见位置。随后恢复源码获取数据库配置和测试账号再结合公开的接口文档最终登录后台并导出数据。整个过程中没有利用任何高危漏洞仅依靠敏感信息泄露就完成了攻击。给开发/测试的 Checklist检查项开发注意事项测试方法HTML 注释删除调试注释查看页面源码JavaScript不保存 API Key、密码搜索 key、secret、tokenGit 仓库不部署 .git检查 /.git/HEAD报错信息关闭调试模式构造异常请求配置文件不放 Web 目录枚举 .env、.yml备份文件删除 .zip、.bak扫描常见备份文件Swagger/Actuator生产环境关闭或鉴权检查是否开放总结很多数据泄露事件并不是因为攻击者掌握了多么高深的技术而是因为系统提前把钥匙放在了容易找到的地方。一次 HTML 注释、一份备份文件、一个公开的 Git 仓库都可能成为攻击链的起点。因此无论是开发还是测试都应把敏感信息泄露检查纳入每次上线和安全测试的固定流程。及时清理调试信息、妥善保管密钥、关闭不必要的调试功能往往比修复一个漏洞更能降低安全风险。