直接锁定配置文件读写权限是防止敏感信息明文泄露最基础最关键的一步，需对.env、config.json等高危文件执行chmod 600，确保仅属主可读写，并严格管控目录权限、Web服务器访问权及Git提交路径。
直接锁定配置文件的读写权限，是防止敏感信息明文泄露最基础也最关键的一步。重点不在“有没有配置”，而在于“谁能在什么场景下读到它”。
识别高危配置文件类型
先明确哪些文件一旦暴露就等于交出系统钥匙：
- .env：常含数据库密码、API密钥、JWT密钥等，风险等级极高
- config.json / settings.yml：若未做环境隔离，生产密钥可能混在开发配置里
- credentials.yml.enc（Rails）或 .env.local：虽为加密或本地文件，但若权限宽松，仍可能被同服务器其他进程读取
- launch.json（VSCode）：调试配置中硬编码密码属于典型低级错误
执行文件系统级权限控制
操作系统层面的权限设置是第一道防线，不能依赖应用层逻辑兜底：
Pandas 配置文件报告生成器
下载
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
- 对所有含敏感字段的配置文件，运行
chmod 600 filename（仅属主可读写） - 确保配置目录（如
config/或lib/config/）权限不高于750，禁止组外用户进入 - 检查 Web 服务器运行用户（如 www-data、nginx）是否具备读取这些文件的权限——通常应完全无权访问
- 在容器化部署中，挂载配置时使用
ro（只读）模式，并避免以 root 用户运行应用进程
切断代码仓库泄露路径
很多泄露不是黑客攻破的，而是开发者误提交的：
- 把
.env、*.local、credentials.yml.enc、id_rsa等明确加入项目根目录的.gitignore - 全局配置
~/.gitignore_global，覆盖所有本地项目，防止遗漏 - 在 CI 流水线中加入扫描步骤，例如用
git-secrets --scan -r检测历史提交是否曾泄露密钥 - 若已误提交，必须执行
git filter-repo彻底清除记录，不能仅靠git rm --cached
用环境变量替代明文配置
这是最推荐的落地方式，让敏感值根本不落地到文件系统：
- 在应用启动脚本或容器
docker run -e DB_PASSWORD=xxx中注入关键参数 - 配置文件中改用占位符引用：
password:（Ruby）或"DB_PASSWORD": "${env:DB_PASSWORD}"（VSCode launch.json） - 生产环境统一由运维通过密钥管理服务（如 HashiCorp Vault、AWS Secrets Manager）注入，开发环境用
.env+dotenv加载，但确保该文件永不进 Git
