SECURITY_NOTICE.md

🚨 安全警告

凭证泄露事件

我们收到了华为云的安全警告，发现项目中存在AKSK凭证泄露问题。

已发现的问题

1. 华为云OBS凭证泄露 (已删除)

   • ACCESS_KEY: HPUA15QQDUNWF7XQSJ54
   • SECRET_KEY: 9B7Qrpr7vnjRgJcv7Q78I77EbxwxVKCVGj8UxeRZ

2. 文件位置: configure-website.py (已删除)

已采取的安全措施

✅ 立即删除了包含泄露凭证的Python脚本文件 ✅ 更新.gitignore 添加了更多安全规则防止未来泄露 ✅ 清理Git历史 (建议进行Git历史重写)

紧急建议

1. 立即在华为云控制台操作

• 禁用或删除泄露的AKSK凭证
• 创建新的AKSK凭证
• 检查云资源访问日志 查看是否有异常访问
• 审查IAM权限 确保最小权限原则

2. 代码安全改进

• 使用环境变量 存储所有敏感信息
• 配置密钥管理服务 (如华为云KMS)
• 实施代码审查流程 防止硬编码凭证
• 使用Git钩子 防止提交敏感信息

3. 监控和审计

• 启用云审计服务 监控所有API调用
• 设置告警规则 检测异常访问模式
• 定期检查 云资源使用情况

安全配置示例

// ❌ 错误做法 - 硬编码凭证
const API_KEY = "your-secret-key";

// ✅ 正确做法 - 使用环境变量
const API_KEY = process.env.HUAWEI_CLOUD_API_KEY;

# ❌ 错误做法 - 硬编码凭证
ACCESS_KEY = "HPUA15QQDUNWF7XQSJ54"
SECRET_KEY = "9B7Qrpr7vnjRgJcv7Q78I77EbxwxVKCVGj8UxeRZ"

# ✅ 正确做法 - 使用环境变量
import os
ACCESS_KEY = os.environ.get('HUAWEI_CLOUD_ACCESS_KEY')
SECRET_KEY = os.environ.get('HUAWEI_CLOUD_SECRET_KEY')

联系支持

如果您发现任何异常活动或有安全问题需要报告，请立即联系：

• 华为云安全团队
• 您的云服务提供商支持

参考文档

• 华为云安全最佳实践
• AKSK安全管理
• 云审计服务

---

⚠️ 重要提醒: 请立即采取行动保护您的云资源安全！