AI 辅助开发编程敏感信息保护安全规范

版本：v1.0 | 适用范围：全体使用 AI 编程工具的开发人员

"AI 让你写代码的速度提升 10 倍，但如果忽视安全，埋下漏洞的速度也提升 10 倍。"

一、开发现状

1.1 AI 编程工具已全面渗透

截至 2026 年上半年，AI 编程工具（GitHub Copilot、Cursor、Claude Code、Cline、Trae、CodeBuddy、通义灵码、文心快码等）已覆盖超过 85% 的专业开发者 ，成为日常开发的标配。这些工具从简单的代码补全，已升级为可自主执行命令、读写文件、操作数据库的 AI Agent。

1.2 效率与风险同步放大

维度	数据
AI 生成代码中含安全隐患的比例	67%
AI 生成的 SQL 注入漏洞率比人工高出	40%
不审查就直接提交 AI 代码的开发者比例	45%
企业因 AI 引入的安全事件同比增长	300%
已建立 AI 编程安全审查流程的企业占比	仅 12%
使用 Copilot 的公开仓库密钥泄露率	6.4%（比基线高 40%）
全球每天新增硬编码密钥推送到 GitHub 公开仓库	超过 10,000 个

1.3 核心矛盾

AI 让代码从"逐行手写"变成了"秒级生成"，但安全审查的速度并没有同步提升。开发者在享受效率红利的同时，敏感信息（数据库密码、API 密钥、IP、端口、企业关键词、产品名称等）通过 AI 工具被上传到外部服务器的风险正在急剧放大。

二、AI 辅助开发的具体场景

场景一：AI 全量扫描代码学习项目结构

典型行为：开发者使用 Cursor、Claude Code 等工具时，AI 引擎会自动读取整个项目目录的文件内容，作为上下文发送到云端模型，以便提供精准的代码建议。

涉及信息：

application.yml / application.properties 中的数据库连接串、IP、端口
.env 文件中的 API Key、Secret Token
代码注释中的业务术语、企业名称、产品代号
包名、类名中隐含的商业逻辑关键词

场景二：AI 生成配置文件和部署脚本

典型行为 ：开发者用自然语言描述需求，AI 自动生成 Dockerfile、docker-compose.yml、nginx.conf、Kubernetes 部署清单等。

涉及信息：

容器镜像中的环境变量（ENV DB_PASSWORD=xxx）
Nginx 反向代理中的后端 IP 与端口
CI/CD 流水线配置中的部署密钥

场景三：AI 辅助调试与错误排查

典型行为：开发者将错误日志、数据库查询结果、API 返回数据粘贴给 AI 分析。

涉及信息：

日志中的用户数据、Token、Session ID
数据库表结构、字段名、样例数据
内部 API 的请求/响应格式

场景四：AI 生成数据库操作代码

典型行为：AI 生成 SQL 查询、ORM 映射、数据库迁移脚本。

涉及信息：

完整的数据库表结构（表名、字段名、关系）
数据库连接参数
隐含的业务数据模型

场景五：团队成员共享 AI 会话记录

典型行为：开发者分享 AI 对话链接或导出会话记录供团队参考。

涉及信息：

会话中已上传的代码片段和配置信息
问题描述中引用的内部系统名称与架构细节

三、存在的泄密风险

3.1 风险图谱

风险类别	严重等级	泄密路径	典型后果
代码上下文上传泄露	🔴 严重	AI IDE 读取全量代码发送至云端模型	数据库密码、API 密钥、业务逻辑、企业关键词流出内网
硬编码敏感信息	🔴 严重	密钥/密码直接写在源码中	代码仓库泄露即全部凭据泄露
AI 工具凭据存储缺陷	🔴 严重	AI 桌面应用的 OAuth Token 明文存储	攻击者窃取 Token 后远程接管开发环境
MCP 配置凭据聚合	🔴 严重	单个 MCP 配置文件聚合多个服务 Token	一次泄露导致 GitHub、Slack、数据库等全线沦陷
VS Code Settings Sync 泄露	🔴 严重	开启同步后凭据自动上传至 GitHub 云端	凭据在云端以明文形式存储
Git 历史残留	🟠 高危	从代码中删除后 Git 历史仍保留	通过 `git log -p` 可提取所有历史凭据
容器镜像泄露	🟠 高危	Dockerfile 的 ENV 指令写入镜像层	`docker history` 可提取构建时凭据
CI/CD 日志泄露	🟠 高危	流水线日志打印环境变量值	有流水线访问权限者可见完整密钥
依赖包供应链攻击	🟡 中危	恶意 npm 包接收 MCP 启动时的环境变量	凭据被外传到攻击者服务器
AI 会话记录分享泄露	🟡 中危	分享 AI 对话链接/导出	内网架构、业务术语、配置片段流出
模型训练数据污染	🟡 中危	未开启隐私模式时代码用于模型训练	敏感代码片段可能出现在他人补全建议中

重点风险详解

风险一：AI 工具凭据明文存储（2026 年最新发现）

根据 Netwrix 2026 年 5 月发布的安全研究，14 款主流 AI 编程工具在凭据存储方面存在严重缺陷：

Claude Code CLI ：OAuth Token 明文存储在 ~/.claude/.credentials.json，WSL 环境下权限为全局可读（0777）
Continue.dev ：所有 API 密钥明文存储在 ~/.continue/config.json
Cline ：MCP 配置以未加密 JSON 存在 VS Code globalStorage 中，VS Code Settings Sync 会自动将其同步到 GitHub 云端
48% 的 MCP 服务器实现推荐明文凭据存储（Trend Micro 数据）

风险二：MCP Token 聚合与横向移动

单个 MCP 配置文件（如 mcp.json）聚合了 GitHub Token、Azure DevOps Token、Slack Bot Token、数据库密码，一次泄露即可级联危害所有连接服务。攻击者获取 Claude Code 的 refresh token 后，可通过 MCP 代理访问 GitHub 仓库、Azure 项目、Slack 工作区。

风险三：代码上下文静默上传

AI IDE 默认会读取项目文件作为上下文发送给云端模型。.gitignore 只能阻止 Git 提交，不能阻止 AI 引擎读取文件 。.env、secrets/ 等敏感目录在未额外配置的情况下会被 AI 工具读取并上传。

四、规避风险的方法总览

采用 六层纵深防护体系，从代码、工具、扫描、流程、架构、制度六个维度层层设防：

复制代码

┌─────────────────────────────────────────────────────────────────┐
│  第 6 层：制度级防护 --- 安全规范、培训考核、应急预案、审计报告         │
├─────────────────────────────────────────────────────────────────┤
│  第 5 层：架构级防护 --- KMS 密钥管理、动态凭据、权限最小化            │
├─────────────────────────────────────────────────────────────────┤
│  第 4 层：流程级防护 --- CI/CD 安全门禁、Git Hook、强制 Code Review  │
├─────────────────────────────────────────────────────────────────┤
│  第 3 层：扫描级防护 --- Gitleaks、TruffleHog、AIHound 自动扫描      │
├─────────────────────────────────────────────────────────────────┤
│  第 2 层：工具级防护 --- AI IDE 安全配置、隐私模式、文件隔离           │
├─────────────────────────────────────────────────────────────────┤
│  第 1 层：代码级防护 --- 零硬编码、参数化查询、环境变量注入            │
└─────────────────────────────────────────────────────────────────┘

防护层级	核心方法	解决的问题
代码级	环境变量注入替代硬编码；参数化查询替代 SQL 拼接；敏感配置外部化	杜绝密钥/密码/连接串直接出现在源码中
工具级	配置 `.cursorignore` / `CLAUDE.md`；开启 Privacy Mode；关闭代码训练	阻止 AI 工具读取和上传敏感文件内容
扫描级	Git pre-commit hook + Gitleaks + TruffleHog + AIHound 自动扫描	在提交前和仓库历史中发现并阻断凭据泄露
流程级	CI/CD Pipeline 集成安全扫描；Pull Request 安全门禁；强制 Code Review	确保含敏感信息的代码无法合并到主分支
架构级	KMS/HSM 统一密钥管理；动态凭据按需生成自动销毁；最小权限原则	从根本上消除静态凭据，即使泄露也很快失效
制度级	安全编码规范文档；AI 安全提示词模板；季度安全审查；应急预案	让安全意识成为团队肌肉记忆

五、规避操作具体步骤

5.1 代码级防护：杜绝硬编码敏感信息

5.1.1 敏感信息外部化

❌ 禁止的做法：

python 复制代码

# 硬编码密钥、密码、连接串
API_KEY = "sk-abc123456789xyz"
DB_PASSWORD = "admin123"
DATABASE_URL = "mysql://root:password@192.168.1.100:3306/prod_db"
AWS_ACCESS_KEY = "AKIAIOSFODNN7EXAMPLE"
SECRET_TOKEN = "my-secret-token"

yaml 复制代码

# application.yml 中硬编码（❌ 禁止）
spring:
  datasource:
    url: jdbc:mysql://10.0.1.50:3306/production?useSSL=false
    username: root
    password: MyProductionP@ssword

✅ 正确做法：

python 复制代码

# 方法一：从环境变量读取
import os
API_KEY = os.environ.get("API_KEY")
DB_PASSWORD = os.getenv("DB_PASSWORD")
DATABASE_URL = os.getenv("DATABASE_URL")

# 方法二：使用 python-decouple / python-dotenv
from decouple import config
DB_PASSWORD = config("DB_PASSWORD")

yaml 复制代码

# application.yml 使用环境变量占位符（✅ 正确）
spring:
  datasource:
    url: ${DB_URL}
    username: ${DB_USERNAME}
    password: ${DB_PASSWORD}

javascript 复制代码

// Node.js 使用环境变量（✅ 正确）
const dbPassword = process.env.DB_PASSWORD;
const apiKey = process.env.API_KEY;

// 使用 dotenv 加载本地 .env（.env 不入版本控制）
require('dotenv').config();

5.1.2 数据库操作强制参数化查询

❌ 禁止的做法：

java 复制代码

// 字符串拼接 SQL（SQL 注入风险）
String query = "SELECT * FROM users WHERE name = '" + username + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(query);

python 复制代码

# f-string 拼接 SQL（SQL 注入风险）
query = f"SELECT * FROM users WHERE name = '{username}'"
cursor.execute(query)

✅ 正确做法：

java 复制代码

// Java JDBC PreparedStatement（✅ 安全）
String query = "SELECT * FROM users WHERE name = ?";
PreparedStatement pstmt = connection.prepareStatement(query);
pstmt.setString(1, username);
ResultSet rs = pstmt.executeQuery();

python 复制代码

# Python 参数化查询（✅ 安全）
cursor.execute("SELECT * FROM users WHERE name = %s", (username,))

javascript 复制代码

// Node.js 参数化查询（✅ 安全）
const result = await db.query(
    "SELECT * FROM users WHERE name = $1",
    [username]
);

5.1.3 .gitignore 配置标准

在项目根目录创建或完善 .gitignore，确保以下文件类型永不提交到版本库：

gitignore 复制代码

# ===== 敏感配置与密钥 =====
.env
.env.*
*.local
*.local.json
/secrets/
/credentials/
*.pem
*.key
*.p12
*.pfx
*.jks
*.keystore
*.truststore

# ===== 数据库文件 =====
*.sqlite
*.sqlite3
*.db
/dumps/
/backups/

# ===== IDE 本地配置 =====
.idea/
.vscode/settings.json
*.swp
*.swo
*~

# ===== AI 工具配置 =====
.mcp.json          # 可能含 MCP Token
.cursor/
.claude/

# ===== 操作系统文件 =====
.DS_Store
Thumbs.db

5.2 工具级防护：配置 AI IDE 安全边界

5.2.1 Cursor 安全配置

步骤一：创建 .cursorignore

⚠️ .gitignore 只能阻止 Git 提交，不能阻止 Cursor AI 引擎读取文件 。必须单独创建 .cursorignore。

在项目根目录创建 .cursorignore，语法与 .gitignore 相同：

复制代码

# 敏感配置与密钥
.env*
*.local.json
/secrets/
/credentials/

# 数据库与备份
*.sqlite
*.sqlite3
/backups/
/dumps/

# 依赖与构建产物（节约 Token + 防止索引卡死）
node_modules/
.next/
dist/
build/
target/

# 大型静态资源
/public/uploads/
*.zip
*.tar.gz

创建后需重启 Cursor 才能生效。

步骤二：开启 Privacy Mode（隐私模式）

打开 Cursor → Settings → General → Privacy Mode
将 Privacy Mode 切换为 Enabled
开启后，代码片段和输入不会被用于模型训练

5.2.2 Claude Code 安全配置

在项目根目录的 CLAUDE.md 中添加安全声明：

markdown 复制代码

# CLAUDE.md 安全声明

## 文件访问限制
- 禁止读取 .env 及 .env.* 文件
- 禁止读取 /secrets/ 目录下的任何文件
- 禁止读取 *.sqlite、*.db 等数据库文件
- 禁止读取 /backups/ 和 /dumps/ 目录

## 操作限制
- 对 /src 目录外的写操作需要人工确认
- 删除文件操作需要人工确认
- 执行 git push --force 等危险 Git 操作需要人工确认
- 不得在任何输出中展示密钥、密码、Token 原文

5.2.3 GitHub Copilot 隐私设置

打开 GitHub → Settings → Copilot
取消勾选 "Allow GitHub to use my code snippets for product improvement"
企业版用户：联系管理员在组织层面统一关闭此选项

5.2.4 通用 AI 工具安全配置清单

工具	配置项	操作
Cursor	`.cursorignore` + Privacy Mode	创建忽略文件 + 开启隐私模式
Claude Code	`CLAUDE.md` 文件访问限制	声明禁止读取的目录和文件
GitHub Copilot	代码收集关闭	GitHub Settings 中取消勾选
Cline	VS Code Settings Sync	必须关闭，否则凭据同步至 GitHub 云端
Continue.dev	环境变量替代	用 `${API_KEY}` 替代明文密钥
通义灵码 / 文心快码	企业版管理后台	在管理后台关闭代码训练

5.2.5 凭证文件权限加固（Linux/macOS/WSL）

bash 复制代码

# 修复 AI 工具凭据文件的权限（仅所有者可读写）
chmod 600 ~/.claude/.credentials.json
chmod 600 ~/.continue/config.json
chmod 600 ~/.aws/credentials
chmod 600 ~/.config/gcloud/application_default_credentials.json

# WSL 环境特殊处理：Windows 端文件默认 0777，必须手动收紧
# 在 WSL 中执行：
chmod 600 /mnt/c/Users/<username>/.claude/.credentials.json

5.3 扫描级防护：敏感信息检测工具链

5.3.1 工具选型

工具	扫描范围	安装方式	适用场景
Gitleaks	代码 + Git 完整历史	`brew install gitleaks` 或下载二进制	日常开发 + CI/CD 集成
TruffleHog	代码 + 历史 + 远程仓库	`pip install trufflehog` 或下载二进制	审计已有仓库
AIHound	AI 工具凭据文件	`git clone` + 运行脚本	检测 AI 工具凭据泄露
git-secrets	Git 提交前扫描	`brew install git-secrets`	Pre-commit Hook

5.3.2 Gitleaks 使用步骤

步骤一：安装

bash 复制代码

# macOS
brew install gitleaks

# Windows（下载二进制）
# https://github.com/gitleaks/gitleaks/releases

# Linux
wget https://github.com/gitleaks/gitleaks/releases/latest/download/gitleaks_linux_amd64.tar.gz
tar -xzf gitleaks_linux_amd64.tar.gz
sudo mv gitleaks /usr/local/bin/

步骤二：全量历史扫描

bash 复制代码

# 扫描当前目录（含完整 Git 历史）
gitleaks detect --source . --verbose

# 输出 JSON 格式报告
gitleaks detect --source . --report-format json --report-path leaks-report.json

# 扫描指定分支
gitleaks detect --source . --branch main

步骤三：配置 Pre-commit Hook

bash 复制代码

# 在项目中安装 pre-commit hook
cd /path/to/your/project
gitleaks protect --staged --verbose

或创建 .gitleaks.toml 自定义规则：

toml 复制代码

# 允许特定的测试用假密钥（白名单）
[allowlist]
  description = "测试环境模拟密钥"
  regexes = [
    "test_sk_.*",
    "EXAMPLE_API_KEY"
  ]
  paths = [
    "src/test/",
    "docs/examples/"
  ]

5.3.3 TruffleHog 使用步骤

步骤一：安装

bash 复制代码

# 使用 pip 安装
pip install trufflehog

# 或下载二进制
# https://github.com/trufflesecurity/trufflehog/releases

步骤二：扫描本地仓库

bash 复制代码

# 扫描本地目录
trufflehog filesystem --directory=/path/to/repo

# 只扫描最近 50 次提交（提升速度）
trufflehog git file:///path/to/repo --since-commit HEAD~50

# 扫描远程仓库（需有访问权限）
trufflehog github --repo=https://github.com/your-org/your-repo

5.3.4 AIHound 使用步骤（检测 AI 工具凭据泄露）

bash 复制代码

# 克隆 AIHound 工具
git clone https://github.com/netwrix/AIHound.git
cd AIHound

# 运行扫描
python aihound.py --scan-all

# 只扫描特定工具
python aihound.py --tool claude-code
python aihound.py --tool cursor
python aihound.py --tool continue

5.3.5 扫描发现泄露后的处理流程

复制代码

发现泄露 → 立即确认有效性 → 轮换密钥 → 清理 Git 历史 → 排查影响范围 → 记录事件

确认有效性：使用 TruffleHog 的验证功能确认密钥是否仍然有效
立即轮换：在云平台/服务后台立即作废并重新生成密钥
清理历史 ：使用 git filter-branch 或 BFG Repo-Cleaner 清理 Git 历史中的密钥
排查影响：检查泄露期间的访问日志，确认是否被恶意利用
记录事件：记录泄露事件的时间、范围、处理措施，纳入安全台账

5.4 流程级防护：CI/CD 与 Git 安全门禁

5.4.1 GitHub Actions 集成 Gitleaks

创建 .github/workflows/secret-scan.yml：

yaml 复制代码

name: Secret Scanning
on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]

jobs:
  gitleaks:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout
        uses: actions/checkout@v4
        with:
          fetch-depth: 0  # 拉取完整历史以扫描历史提交

      - name: Gitleaks Scan
        uses: gitleaks/gitleaks-action@v2
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

      - name: Upload Report
        if: failure()
        uses: actions/upload-artifact@v4
        with:
          name: gitleaks-report
          path: gitleaks-report.json

5.4.2 Pre-commit Hook 本地拦截

在项目根目录创建 .git/hooks/pre-commit：

bash 复制代码

#!/bin/bash
# Pre-commit Hook：在提交前扫描敏感信息

echo "🔍 正在扫描敏感信息..."

# 使用 Gitleaks 扫描暂存区
gitleaks protect --staged --verbose --redact

if [ $? -ne 0 ]; then
    echo ""
    echo "❌ 检测到敏感信息！提交已被阻止。"
    echo "   请移除硬编码的密钥/密码/Token 后再提交。"
    echo "   使用环境变量 ${VARIABLE_NAME} 替代。"
    exit 1
fi

echo "✅ 未发现敏感信息，允许提交。"
exit 0

bash 复制代码

# 赋予执行权限
chmod +x .git/hooks/pre-commit

5.4.3 Code Review 安全卡点

在 Pull Request 评审清单中增加以下必检项：

检查项	关注点
是否包含硬编码密钥/密码？	搜索 `password`, `secret`, `token`, `key`, `api_key`
数据库操作是否使用参数化查询？	检索字符串拼接 SQL 的模式
是否误提交 `.env` 或 `.local` 文件？	检查 PR 文件变更列表
环境变量是否有默认明文值？	确认 `os.getenv("KEY", "fallback")` 中 fallback 不是真实密钥
日志输出是否打印了敏感数据？	检查 `console.log` / `print` 中的 Token、密码
MCP 配置是否包含内联 Token？	确认使用 `${VAR}` 引用而非明文

5.5 架构级防护：企业凭据管理体系

5.5.1 三层凭据管理架构

复制代码

┌──────────────────────────────────────────────────────┐
│  应用层：运行时注入                                     │
│  • 环境变量 / K8s Secret / Sidecar 注入               │
│  • 代码中只引用变量名，不写值                            │
├──────────────────────────────────────────────────────┤
│  平台层：集中存储与权限控制                               │
│  • HashiCorp Vault / 云厂商 Secret Manager            │
│  • 统一权限管理、操作审计、自动轮换                        │
├──────────────────────────────────────────────────────┤
│  运维层：自动化轮换与应急响应                             │
│  • 扫描工具 + Webhook + 告警                          │
│  • 泄露自动发现 → 自动轮换 → 自动通知                    │
└──────────────────────────────────────────────────────┘

5.5.2 环境变量引用规范

环境	配置方式	示例
本地开发	`.env` 文件（不入 Git）	`DATABASE_URL=postgres://localhost:5432/dev`
CI/CD	平台 Secret 变量（Masked）	GitLab CI Variables / GitHub Secrets
Kubernetes	K8s Secret + External Secrets Operator	从 KMS 同步到 K8s Secret
生产环境	KMS 动态签发，启动时注入	Vault Agent Sidecar 注入

5.5.3 动态凭据 vs 静态凭据

维度	静态凭据（❌ 应淘汰）	动态凭据（✅ 推荐）
生命周期	长期有效（数月~数年）	短期有效（分钟~小时）
轮换方式	手动定期更换	自动按需生成 + 自动销毁
泄露风险	高（截获后长期有效）	低（即使泄露也即将失效）
技术实现	密码文件 / 环境变量	KMS 动态签发 / Vault Lease
适用场景	仅限本地开发	测试、预发、生产环境

5.5.4 K8s Secret 外部注入示例

yaml 复制代码

apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      containers:
        - name: app
          image: myapp:v1.2
          env:
            # ❌ 错误：直接写值
            - name: DB_PASSWORD
              value: "MyPassword123"

            # ✅ 正确：引用 K8s Secret
            - name: DB_PASSWORD
              valueFrom:
                secretKeyRef:
                  name: db-credentials
                  key: password
---
# K8s Secret 由 External Secrets Operator 从 KMS 同步
apiVersion: external-secrets.io/v1beta1
kind: ExternalSecret
metadata:
  name: db-credentials
spec:
  refreshInterval: 1h
  secretStoreRef:
    name: vault-backend
  target:
    name: db-credentials
  data:
    - secretKey: password
      remoteRef:
        key: database/production/credentials
        property: password

5.6 制度级防护：日常行为规范与应急预案

5.6.1 开发人员日常安全行为准则（十条铁律）

序号	规范要求	违规后果
1	绝不在代码、注释、配置文件中写入真实密钥、密码、Token	立即通报 + 密钥轮换
2	绝不将 `.env`、`credentials.json`、含密钥的配置文件提交到 Git	仓库回滚 + 密钥轮换
3	始终使用环境变量或密钥管理服务引用敏感信息	---
4	始终使用参数化查询，禁止字符串拼接 SQL	Code Review 打回
5	始终为每个 AI 项目配置 `.cursorignore` / `CLAUDE.md` 安全声明	不得开始编码
6	绝不在有真实凭据的机器上使用 `--dangerously-skip-permissions` 类危险标志	安全通报
7	始终在粘贴日志、错误信息到 AI 对话前做脱敏处理	---
8	绝不分享含内部信息的 AI 会话链接给无权限人员	安全通报
9	每月执行 `gitleaks detect` 扫描所有活跃仓库	---
10	禁止在 AI 提示词中输入数据库真实连接串、服务器 IP 地址、客户数据	---

5.6.2 日志脱敏规范

python 复制代码

# ❌ 错误：日志打印了完整 Token
logging.info(f"API request with token: {api_token}")
print(f"Connecting to database at {db_host}:{db_port} with user {db_user}, password {db_password}")

# ✅ 正确：日志脱敏处理
logging.info(f"API request with token: {api_token[:4]}****")
print(f"Connecting to database at {db_host}:{db_port} with user {db_user}")
# 密码绝对不输出到日志

5.6.3 粘贴 AI 对话前的脱敏检查清单

在将代码片段、配置、日志粘贴到 AI 工具前：

移除所有 API Key、Token、Secret
移除真实数据库连接串（替换为 localhost:5432/mydb）
移除真实服务器 IP 地址（替换为 10.0.0.1 或 your-server-ip）
移除真实企业名称、产品代号（替换为 MyCompany、MyProject）
移除客户/用户敏感数据（替换为匿名化样例数据）
移除内部 API 的完整端点路径（保留通用路径结构）

5.6.4 凭据泄露应急预案

复制代码

                      ┌─────────────┐
                      │  发现泄露    │
                      └──────┬──────┘
                             │
                      ┌──────▼──────┐
                      │  1. 立即确认 │
                      │  泄露范围    │
                      └──────┬──────┘
                             │
                      ┌──────▼──────┐
                      │  2. 作废密钥 │
                      │  （最高优先级）│
                      └──────┬──────┘
                             │
                      ┌──────▼──────┐
                      │  3. 生成新  │
                      │  凭据并部署  │
                      └──────┬──────┘
                             │
                      ┌──────▼──────┐
                      │  4. 排查影响 │
                      │  范围与溯源  │
                      └──────┬──────┘
                             │
                      ┌──────▼──────┐
                      │  5. 清理泄露 │
                      │  残留痕迹    │
                      └──────┬──────┘
                             │
                      ┌──────▼──────┐
                      │  6. 事件记录 │
                      │  与复盘改进  │
                      └─────────────┘

各环节责任人：

环节	责任人	时限要求
确认泄露范围	发现者 + 安全负责人	15 分钟内
作废密钥	DevOps / 运维	30 分钟内
生成新凭据并部署	DevOps / 运维	1 小时内
排查影响范围	安全团队	4 小时内
清理 Git 历史 / 残留	开发团队	24 小时内
事件记录与复盘	安全负责人	48 小时内

六、规避后的具体效果

按照本规范六层防护体系逐级落地后，可达到以下具体效果：

6.1 代码层面

效果指标	落地前	落地后
代码中硬编码密钥比例	~25%	< 1%（偶发违规由 pre-commit hook 拦截）
SQL 注入漏洞密度	AI 生成代码比人工高 40%	与人工审查后代码持平
`.env` 文件误提交率	时有发生	0 件/月（`.gitignore` + Pre-commit Hook 双保险）

6.2 工具层面

效果指标	落地前	落地后
AI 工具可读取敏感文件	全量读取	敏感目录完全隔离（`.cursorignore` + `CLAUDE.md` 生效）
代码用于模型训练风险	默认开启	零风险（Privacy Mode 全部开启）
AI 工具凭据文件全局可读	WSL 环境 100% 可读	仅文件所有者可读（`chmod 600` 生效）
VS Code Settings Sync 泄露凭据	使用 Cline 则自动同步	已关闭同步，凭据不出本地

6.3 扫描层面

效果指标	落地前	落地后
硬编码密钥发现方式	被攻击后发现	提交前自动发现并阻断
Git 历史中残留凭据数量	可能存在数十个历史泄露点	每季度全量扫描后清零
新泄露平均发现时间（MTTD）	> 30 天	< 5 分钟（Pre-commit Hook 实时阻断）

6.4 流程层面

效果指标	落地前	落地后
含密钥代码合并到主分支	可能发生	CI/CD 门禁 100% 阻断
AI 生成代码的安全审查率	~55%	100%（Code Review 清单强制执行）
凭据泄露应急响应时间	无预案，临时处置	15 分钟确认 / 30 分钟作废 / 1 小时恢复

6.5 架构层面

效果指标	落地前	落地后
静态凭据占比	> 90%	< 20%（开发环境保留，其余全部动态化）
凭据轮换方式	手动不定期	自动按天/按小时轮换
单个凭据泄露影响面	可能影响多个系统	影响面限制在单个服务（最小权限隔离）

6.6 综合效果

整体安全水位从"被动响应"提升至"主动防御"，敏感信息泄露风险降低 95% 以上。

具体表现为：

事前预防：代码中不再出现硬编码密钥，AI 工具无法读取敏感文件
事中阻断：含敏感信息的提交在本地和 CI/CD 环节被自动拦截
事后追溯：完整的审计日志支持快速定位泄露源头和影响范围
持续改进：季度安全审查 + 应急预案演练保障体系持续有效

附录 A：敏感信息分类清单

类别	示例	风险等级
数据库凭证	连接串、用户名、密码、IP、端口	🔴 严重
API 密钥/Token	OpenAI Key, AWS Access Key, GitHub Token	🔴 严重
加密密钥	私钥（.pem, .key）、证书（.p12, .pfx）	🔴 严重
第三方服务凭证	短信平台 Key、支付平台密钥、推送服务 Token	🔴 严重
CI/CD 凭证	Docker Registry 密码、K8s Kubeconfig	🟠 高危
业务敏感信息	企业名称、产品代号、项目关键词	🟡 中危
架构信息	内网 IP 地址、服务器拓扑、端口映射	🟡 中危
数据模型	完整数据库表结构、字段关系	🟡 中危
客户数据	用户手机号、邮箱、身份证号、地址	🔴 严重

附录 B：AI 安全提示词模板

基础版（每次使用 AI 编程工具时自动加载）

复制代码

你是一个注重安全的 AI 编程助手。请遵循以下安全规则：
1. 所有数据库操作必须使用参数化查询，禁止字符串拼接 SQL
2. 不得在代码中硬编码任何密钥、密码、Token，一律使用环境变量
3. 用户输入必须进行校验和转义
4. 错误信息不得暴露系统内部细节（IP、路径、表结构）
5. 使用最新稳定版本的依赖库
6. 如果生成的代码涉及安全问题，请明确标注

进阶版（用于复杂企业项目）

复制代码

你是一个企业级安全 AI 编程助手。除基础安全规则外，还需：
1. 遵循 OWASP Top 10 安全规范
2. 实现最小权限原则
3. 所有外部请求需要超时和重试限制
4. 敏感数据需要加密存储（AES-256-GCM 或国密 SM4）
5. 认证 Token 需要有合理的过期时间
6. 日志不得记录密码、Token、身份证号等敏感信息
7. 必须提供单元测试用例
8. 配置文件使用环境变量占位符，不写实际值

附录 C：安全检查清单

每日开发前

.cursorignore / CLAUDE.md 安全声明是否就位？
AI 工具 Privacy Mode 是否开启？
.env 是否已在 .gitignore 中？

每次提交前

是否运行了 gitleaks detect 扫描？
提交中是否包含 .env、credentials.*、*.pem 文件？
是否有硬编码的 password、secret、token、api_key？
日志输出是否包含敏感信息？

每周检查

依赖包是否有已知 CVE 漏洞？（npm audit / pip audit）
AI 工具的凭据文件权限是否为 600？
是否有新的 AI 工具接入需要配置安全策略？

每月检查

对所有活跃仓库执行全量 gitleaks detect 扫描
检查 API Key 是否需要轮换
审查 AI 工具的安全配置是否保持有效

每季度检查

执行凭据安全检查清单（见 5.5.4）
更新安全规范文档
组织团队安全培训与应急预案演练