3. 密码管理现状分析与安全风险
说实话，做了这么多年安全工程，我见过太多因为密码问题翻车的项目了。说白了，密码管理这事儿，表面上看起来是运维或者开发的事儿，实际上根子全在工程化上没做好。
你想想看，我们天天喊着“安全左移”，但很多团队连密码存在哪儿、谁在用、怎么轮转的基本问题都回答不清楚。这章我就带你盘一盘，咱们CI/CD流水线里最常见的三个密码风险，到底是怎么来的。
核心观点： 密码管理的核心不是“加密”，而是“生命周期管理”——从创建、存储、使用到轮转和销毁，任何一个环节失控，都会成为突破口。
3.1 明文密码风险：最原始的“裸奔”
明文密码，说白了就是在系统里直接可读的密码。我在项目中遇到过最离谱的一次，是发现.git仓库里躺着一个config文件，里面赫然写着DB密码——用户名和密码白纸黑字摆在那。你可能会说，这个太低级了。但说实话，这种问题在中小团队里一点也不少见。
明文密码的风险主要在以下几个场景出现：
- 配置文件明文存储：比如
application.properties里写password=root123 - 环境变量明文传递：shell脚本里
export DB_PASSWORD=admin123，然后被日志记录下来 - 数据库直连字符串：
jdbc:mysql://localhost:3306/mydb?user=root&password=123456 - 硬写在代码注释里：这个我见过，注释里写着“TODO: 上线前替换正式Key”，结果上线后一行代码都没改
为什么明文密码这么危险？因为CI/CD流水线本身就是一个“多环节协作”的过程。一个环节泄漏，整个链条的安全就崩了。举个例子：
避坑指南： 我曾经帮一个金融客户做安全审计，发现他们CI平台的凭证是明文存在Jenkins的全局凭据里的。更可怕的是，Jenkins的日志插件会把所有环境变量打印出来……你做一次构建，等于把密码群发给了所有有日志查看权限的人。
你可能要问，为什么没人管？说实话，很多团队觉得“内网，没事”。但内网就不是网吗？内部的横向移动攻击了解一下？
3.2 硬编码泄漏：代码仓库里的“定时炸弹”
硬编码泄漏，指的是密码、密钥、令牌这些秘密直接躺在代码里。GitHub的git-secrets工具为什么火？因为太多人吃过这个亏了。
我记得有一个真实的案例：某家知名公司的一个实习生，把AWS的Secret Access Key写在了公有仓库的某个commit里。10分钟后，公司的账单上多出了一笔几十万美元的矿机开销。嗯，这就是硬编码泄漏的代价。
硬编码泄漏的主要途径：
| 泄漏途径 | 典型场景 | 危害等级 |
|---|---|---|
| 源码提交 | 开发者把密钥写在代码里一并提交到Git | 高 |
| 配置文件随源码托管 | .env 或 config.json 被推送至公有仓库 |
高 |
| Dockerfile/镜像层 | 构建时把密钥作为ARG或ENV写入，且保留在镜像层中 | 极高 |
| 日志/调试输出 | 打印了包含密码的请求体或环境变量 | 中 |
| 第三方依赖 | 使用的开源组件或SDK中内置了测试用密钥 | 低-中 |
为什么会这样？我个人的习惯是，把“密码是否硬编码”列入代码审查的必检项。很多开发觉得“我改一个变量名就绕过扫描了”，你想想看，真要让有心人拿到了，你写的逻辑全白搭。
个人建议： 在CI流水线里加一个gitleaks或truffleHog扫描步骤。我自己的项目，这个步骤是失败即阻断的，不给合并的机会。一次漏检，后面可能要用几天时间来追。
3.3 弱口令隐患：密码管理的第一道“假门”
弱口令，这个就不用多说了吧。123456、password、admin、root……这些东西到现在还在用。我记得有一次渗透测试，我用“admin/admin123”就登进去了——生产环境的管理后台。
弱口令不是一个技术问题，它是一个管理问题。你的密码策略写得多好看都没用，人是会偷懒的。
常见的弱口令模式：
- 默认密码不更换：很多中间件、数据库、CI工具默认密码是公开的，比如Jenkins的admin/admin
- 密码复用：同一个密码用在开发、测试、生产环境，或者跨系统使用
- 简单规律：比如
Password1!、Admin@2023，改一个字符就破解了 - 密码长时间不轮转：用了3年的密码，泄漏了你自己都不知道
- 以明文形式传递密码：通过邮件、钉钉、微信发密码……嗯，这个我在项目中见得多了
你可能会说：弱口令我知道，但怎么治？我个人的经验是两件事：一是强制密码复杂度策略，二是配合密码轮转机制。你想想看，如果密码必须16位以上，强制每90天轮转一次，而且不能重复使用过去5次的历史密码，弱口令的比例会降低多少？
注意： 密码轮转不是“换个新密码就行了”。我曾经参与一个项目，生产环境的密码改完后，十几个微服务全连不上数据库。为什么？因为密钥分布没有自动同步。密码轮转必须配合自动化的密钥分发机制，不然就是做死。
3.4 知识体系总览
这一章我讲了三个核心风险：明文密码、硬编码泄漏、弱口令。你可以把这三个风险看作密码管理的“三座大山”。下面这张图，是我个人习惯用来梳理密码管理现状的框架图，你可以看看它们之间的关系：
3.5 小结
这一章我跟你聊了密码管理的三个核心风险：明文密码、硬编码泄漏、弱口令。每一个都在我实际项目里真实遇到过，而且每一次都伴随着不小的代价。
你可能会觉得，上面说的这些好像不难理解。但说实话，难的不是“知道”，而是“落地”。下一阶段，我会带你把这些风险的根源挖得更深，并给出可落地的工程化解决方案。
嗯，先消化这些吧。