Поиск секретов в программном коде (по энтропии)

[Number571]

Дежавю недельной выдержки?

[AnROm]

@GlobalSign_admin статья хорошая, но все-таки дубликат предыдущей.

[nronnie]

GitHub делает (по крайней мере делал когда-то) такую смешную штуку. Если у тебя был сгенерированный PAT (personal access token) и он встречался где-то открытым текстом в коммите, то вы думаете, что он коммит не принимал? Как бы не так. Он напрочь сносил сам PAT, после чего его можно было только заново генерировать и заново прописывать везде где он был нужен (те же "secrets" репозиториев) и это запросто могло быть десяток мест. Я нарвался на эту шляпу (пытался на время для чего-то прописать PAT в открытую в "workflow", а потом его убрать и сделать как положено через secrets) и часа два разбирался не в силах понять что за херь раз за разом происходит.

[Ndochp]

Молодцы, если ты пушишь секрет, значит ты его уже закоммитил. И кто тебя знает, сколько у тебя ориджинов в локальном репо. Значит надо считать, что PAT уже слит и гуляет где хочет.