MCP 鑒權與密鑰托管實戰(zhàn)環(huán)境變量、.env 忽略規(guī)則與示例倉去密鑰檢查清單示例能跑不等于可以貼真鑰。MCP 把密鑰帶進工具配置之后泄漏路徑變多配置文件、截圖、CI 日志、誤提交的全局設置?？谔枴竸e提交密鑰」敵不過一張清單與一道門禁。本文給托管五步、忽略規(guī)則對照、泄漏模式與示例倉去密鑰檢查清單。與 10-05 安全基線觀點互補偏可執(zhí)行。摘要外置密鑰只進環(huán)境變量或密鑰管理。模板倉內(nèi)僅占位與.env.example。忽略git 與索引雙重忽略。門禁掃描 PR 勾選。演練假設泄漏會吊銷。結論清單進倉比口口相傳可靠。結論卡位置應含不應含mcp 模板${ENV}字面密鑰.env.example占位真 Token.gitignore.env 等誤忽略源碼截圖打碼Cookie/鑰CI 日志脫敏打印 Authorization密鑰托管五步盤點哪些 MCP 要什么鑰。外置環(huán)境變量 / 密鑰管理器。模板.env.example 占位。忽略.gitignore、必要時.cursorignore。門禁rg/掃描器 PR 模板勾選。忽略與示例對照三處同時錯才會大面積泄漏模板寫真鑰、忽略失效、截圖未打碼。修復要三處一起查。示例 .gitignore 片段按需裁剪.env .env.* !.env.example *.pem *secret*示例環(huán)境注入示意exportMCP_API_TOKEN從密鑰管理器取出# 啟動 Cursor / MCP 客戶端前確保已導出泄漏模式 vs 安全模式易漏mcp.json含真鑰錄屏露出.env提交個人全局配置CI 打印密鑰。更穩(wěn)只提交模板錄屏前檢查面板項目級去密鑰配置日志脫敏與掃描。AtomGit 秋季示例倉尤其要過清單——公開倉庫的爬蟲不會手下留情。示例倉去密鑰檢查清單掃描AKIA/sk-/Bearer等模式無命中按團隊規(guī)則擴展。.env在 ignoreexample 無真值。mcp 配置僅環(huán)境變量引用。文檔截圖已打碼。PR 模板含「密鑰檢查」勾選。輪換演練假設泄漏后吊銷步驟已知。把清單文件放進docs/secret-checklist.md發(fā)布前打印勾選。與鑒權流程的關系MCP Server 若支持 OAuth 或其他官方鑒權優(yōu)先走官方本文聚焦「密鑰如何不進倉」。不要發(fā)明「把 refresh token 寫進 Rules」之類歪路。踩坑以為 private 倉庫就不需要去密鑰。只 gitignore 忘了示例文件里的真值。用聊天記錄傳密鑰。泄漏后不輪換只刪文件。FAQQ本地絕對路徑配置可以提交嗎A通常不要用相對路徑與環(huán)境變量便于同事復現(xiàn)。Q掃描誤報怎么辦A允許名單要審不要粗暴關閉掃描。今晚可執(zhí)行對一個示例倉跑密鑰模式掃描。補齊.env.example與 ignore。PR 模板加勾選。寫三步吊銷演練到 README。可復制提示詞塊把關鍵約束寫成可粘貼塊減少每次臨場發(fā)揮【模式】按任務選擇 Ask / Agent / Manual 【目標】一句話可測結果 【允許路徑】... 【禁止】密鑰、出網(wǎng)、無關重構、改測試騙綠 【驗收命令】... 【交付】diff --stat 命令輸出 風險一句提示詞塊應進 Prompt 庫或團隊模板而不是散落在聊天記錄。變更時走評審避免「口頭最新版」。驗證與回滾任何實戰(zhàn)步驟都要回答兩問怎么知道成功失敗如何回滾成功標準盡量是命令退出碼或明確文件存在性回滾盡量是git checkout/git revert/ 關掉某 MCP 分組。把回滾寫進任務卡Agent 較少在恐慌中擴大爆炸半徑。建議在文末「今晚可執(zhí)行」里強制包含一次回滾演練故意改錯再撤回來確認肌肉記憶。與 Token、權限的交叉約束實戰(zhàn)文若只教「怎么做」不提成本與權限讀者會在真實項目里付學費。固定提醒上下文只掛本任務需要的文件與提示。寫與出網(wǎng)工具默認關用時再開。新會話交接用手寫摘要不靠無限滾動歷史。密鑰只走環(huán)境變量示例倉走檢查清單。這些句子可以重復出現(xiàn)在多篇實戰(zhàn)里——重復的是紀律不是車轱轆新聞。團隊落地差異個人倉庫可以激進試錯團隊倉庫要默認保守。落地時把「可選項」與「必選項」分開必選項進公約與 CI可選項進個人筆記。新人第一周只要求必選項達標例如去密鑰、diff 不越界、測試命令可復跑避免被工具宇宙嚇退。若團隊有 AtomGit / 內(nèi)網(wǎng) Git把模板倉作為唯一入口比每人自行拼裝更少分叉。失敗案例復盤模板日期 任務目標 使用的模式與模型如可知 失敗類型卡住/亂改/漏測/權限/密鑰 關鍵 diff 或日志 根因規(guī)則沖突/上下文臟/范圍不清/... 規(guī)則或模板改動 預防措施負責人與到期日兩周一次把復盤模板過一遍實戰(zhàn)文章里的清單才會進化否則清單會停在「寫的時候很對用的時候沒人翻」。度量什么叫變好了可選取的輕量指標不必上復雜平臺越界文件次數(shù) / 周排障新會話次數(shù) / 周止損是否變快紅測先行任務占比示例倉密鑰掃描告警數(shù)站會是否人人能出示--stat摘要指標用于改進模板而不是考核懲罰。懲罰會逼人隱藏近失這與安全目標相反。PR 模板密鑰勾選可粘貼## 密鑰檢查 - [ ] 無新增 .env 真值 - [ ] mcp 模板僅環(huán)境變量 - [ ] 截圖已打碼 - [ ] 本地掃描無高危模式命中 - [ ] 若輪換已更新吊銷記錄吊銷演練三步假設 Token 已出現(xiàn)在公共日志。在簽發(fā)方吊銷/輪換。更新本地環(huán)境變量并驗證 MCP 仍可在新鑰下工作舊鑰失敗。演練通過才算「會托管」而不是「會 gitignore」。與開源協(xié)議、貢獻指南的銜接CONTRIBUTING.md寫明禁止提交密鑰PR 必須勾選密鑰檢查違規(guī) PR 直接關閉并協(xié)助輪換。貢獻指南是門禁文案不是禮貌附錄。執(zhí)行證據(jù)清單檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。檢查項確認本任務的允許路徑、禁止項、驗收命令與回滾方式已寫進任務卡并在完成后保存命令輸出作為證據(jù)。邊界不提供挖礦他人密鑰或繞過鑒權的方法。draft 未發(fā)布。密鑰托管的及格線不是「我小心」而是「機器會攔我」。