事後檢討：外洩九天的 API 金鑰

前言

金鑰在公開儲存庫躺了九天，實際上推送後幾小時就被爬走。文章記錄偵測、輪替、縮小權限範圍的過程，以及事後補上的 pre-commit 與 CI 檢查。

核心智模型

• 從最小、能運作的版本開始，並讓它可觀測。
• 把你正在承擔的取捨寫下來，而不只是寫下你交付了什麼功能。
• 團隊規模改變時重新檢視決策；Cybersecurity 的多數選擇都有保存期限。

實作起點

1. 在實驗分支重現情境，並放在你信任的量測指標旁邊。
2. 一次只改變一個變數，讓 diff 小到能用一句話解釋清楚。
3. 保留成果、丟掉腳手架。

git switch -c experiment/one-thing

結語

這裡沒有教條。把它當成一份你有權不同意的檢查清單——最好附上你自己的實驗結果。