MCP 鑒權(quán)與密鑰托管實(shí)戰(zhàn)環(huán)境變量、.env 忽略規(guī)則與示例倉去密鑰檢查清單示例能跑不等于可以貼真鑰。MCP 把密鑰帶進(jìn)工具配置之后泄漏路徑變多配置文件、截圖、CI 日志、誤提交的全局設(shè)置?？谔枴竸e提交密鑰」敵不過一張清單與一道門禁。本文給托管五步、忽略規(guī)則對照、泄漏模式與示例倉去密鑰檢查清單。與 10-05 安全基線觀點(diǎn)互補(bǔ)偏可執(zhí)行。摘要外置密鑰只進(jìn)環(huán)境變量或密鑰管理。模板倉內(nèi)僅占位與.env.example。忽略git 與索引雙重忽略。門禁掃描 PR 勾選。演練假設(shè)泄漏會吊銷。結(jié)論清單進(jìn)倉比口口相傳可靠。結(jié)論卡位置應(yīng)含不應(yīng)含mcp 模板${ENV}字面密鑰.env.example占位真 Token.gitignore.env 等誤忽略源碼截圖打碼Cookie/鑰CI 日志脫敏打印 Authorization密鑰托管五步盤點(diǎn)哪些 MCP 要什么鑰。外置環(huán)境變量 / 密鑰管理器。模板.env.example 占位。忽略.gitignore、必要時(shí).cursorignore。門禁rg/掃描器 PR 模板勾選。忽略與示例對照三處同時(shí)錯(cuò)才會大面積泄漏模板寫真鑰、忽略失效、截圖未打碼。修復(fù)要三處一起查。示例 .gitignore 片段按需裁剪.env .env.* !.env.example *.pem *secret*示例環(huán)境注入示意exportMCP_API_TOKEN從密鑰管理器取出# 啟動(dòng) Cursor / MCP 客戶端前確保已導(dǎo)出泄漏模式 vs 安全模式易漏mcp.json含真鑰錄屏露出.env提交個(gè)人全局配置CI 打印密鑰。更穩(wěn)只提交模板錄屏前檢查面板項(xiàng)目級去密鑰配置日志脫敏與掃描。AtomGit 秋季示例倉尤其要過清單——公開倉庫的爬蟲不會手下留情。示例倉去密鑰檢查清單掃描AKIA/sk-/Bearer等模式無命中按團(tuán)隊(duì)規(guī)則擴(kuò)展。.env在 ignoreexample 無真值。mcp 配置僅環(huán)境變量引用。文檔截圖已打碼。PR 模板含「密鑰檢查」勾選。輪換演練假設(shè)泄漏后吊銷步驟已知。把清單文件放進(jìn)docs/secret-checklist.md發(fā)布前打印勾選。與鑒權(quán)流程的關(guān)系MCP Server 若支持 OAuth 或其他官方鑒權(quán)優(yōu)先走官方本文聚焦「密鑰如何不進(jìn)倉」。不要發(fā)明「把 refresh token 寫進(jìn) Rules」之類歪路。踩坑以為 private 倉庫就不需要去密鑰。只 gitignore 忘了示例文件里的真值。用聊天記錄傳密鑰。泄漏后不輪換只刪文件。FAQQ本地絕對路徑配置可以提交嗎A通常不要用相對路徑與環(huán)境變量便于同事復(fù)現(xiàn)。Q掃描誤報(bào)怎么辦A允許名單要審不要粗暴關(guān)閉掃描。今晚可執(zhí)行對一個(gè)示例倉跑密鑰模式掃描。補(bǔ)齊.env.example與 ignore。PR 模板加勾選。寫三步吊銷演練到 README?？蓮?fù)制提示詞塊把關(guān)鍵約束寫成可粘貼塊減少每次臨場發(fā)揮【模式】按任務(wù)選擇 Ask / Agent / Manual 【目標(biāo)】一句話可測結(jié)果 【允許路徑】... 【禁止】密鑰、出網(wǎng)、無關(guān)重構(gòu)、改測試騙綠 【驗(yàn)收命令】... 【交付】diff --stat 命令輸出 風(fēng)險(xiǎn)一句提示詞塊應(yīng)進(jìn) Prompt 庫或團(tuán)隊(duì)模板而不是散落在聊天記錄。變更時(shí)走評審避免「口頭最新版」。驗(yàn)證與回滾任何實(shí)戰(zhàn)步驟都要回答兩問怎么知道成功失敗如何回滾成功標(biāo)準(zhǔn)盡量是命令退出碼或明確文件存在性回滾盡量是git checkout/git revert/ 關(guān)掉某 MCP 分組。把回滾寫進(jìn)任務(wù)卡Agent 較少在恐慌中擴(kuò)大爆炸半徑。建議在文末「今晚可執(zhí)行」里強(qiáng)制包含一次回滾演練故意改錯(cuò)再撤回來確認(rèn)肌肉記憶。與 Token、權(quán)限的交叉約束實(shí)戰(zhàn)文若只教「怎么做」不提成本與權(quán)限讀者會在真實(shí)項(xiàng)目里付學(xué)費(fèi)。固定提醒上下文只掛本任務(wù)需要的文件與提示。寫與出網(wǎng)工具默認(rèn)關(guān)用時(shí)再開。新會話交接用手寫摘要不靠無限滾動(dòng)歷史。密鑰只走環(huán)境變量示例倉走檢查清單。這些句子可以重復(fù)出現(xiàn)在多篇實(shí)戰(zhàn)里——重復(fù)的是紀(jì)律不是車轱轆新聞。團(tuán)隊(duì)落地差異個(gè)人倉庫可以激進(jìn)試錯(cuò)團(tuán)隊(duì)倉庫要默認(rèn)保守。落地時(shí)把「可選項(xiàng)」與「必選項(xiàng)」分開必選項(xiàng)進(jìn)公約與 CI可選項(xiàng)進(jìn)個(gè)人筆記。新人第一周只要求必選項(xiàng)達(dá)標(biāo)例如去密鑰、diff 不越界、測試命令可復(fù)跑避免被工具宇宙嚇退。若團(tuán)隊(duì)有 AtomGit / 內(nèi)網(wǎng) Git把模板倉作為唯一入口比每人自行拼裝更少分叉。失敗案例復(fù)盤模板日期 任務(wù)目標(biāo) 使用的模式與模型如可知 失敗類型卡住/亂改/漏測/權(quán)限/密鑰 關(guān)鍵 diff 或日志 根因規(guī)則沖突/上下文臟/范圍不清/... 規(guī)則或模板改動(dòng) 預(yù)防措施負(fù)責(zé)人與到期日兩周一次把復(fù)盤模板過一遍實(shí)戰(zhàn)文章里的清單才會進(jìn)化否則清單會停在「寫的時(shí)候很對用的時(shí)候沒人翻」。度量什么叫變好了可選取的輕量指標(biāo)不必上復(fù)雜平臺越界文件次數(shù) / 周排障新會話次數(shù) / 周止損是否變快紅測先行任務(wù)占比示例倉密鑰掃描告警數(shù)站會是否人人能出示--stat摘要指標(biāo)用于改進(jìn)模板而不是考核懲罰。懲罰會逼人隱藏近失這與安全目標(biāo)相反。PR 模板密鑰勾選可粘貼## 密鑰檢查 - [ ] 無新增 .env 真值 - [ ] mcp 模板僅環(huán)境變量 - [ ] 截圖已打碼 - [ ] 本地掃描無高危模式命中 - [ ] 若輪換已更新吊銷記錄吊銷演練三步假設(shè) Token 已出現(xiàn)在公共日志。在簽發(fā)方吊銷/輪換。更新本地環(huán)境變量并驗(yàn)證 MCP 仍可在新鑰下工作舊鑰失敗。演練通過才算「會托管」而不是「會 gitignore」。與開源協(xié)議、貢獻(xiàn)指南的銜接CONTRIBUTING.md寫明禁止提交密鑰PR 必須勾選密鑰檢查違規(guī) PR 直接關(guān)閉并協(xié)助輪換。貢獻(xiàn)指南是門禁文案不是禮貌附錄。執(zhí)行證據(jù)清單檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。檢查項(xiàng)確認(rèn)本任務(wù)的允許路徑、禁止項(xiàng)、驗(yàn)收命令與回滾方式已寫進(jìn)任務(wù)卡并在完成后保存命令輸出作為證據(jù)。邊界不提供挖礦他人密鑰或繞過鑒權(quán)的方法。draft 未發(fā)布。密鑰托管的及格線不是「我小心」而是「機(jī)器會攔我」。