据 Verizon《数据泄露调查报告》超过 60% 的数据泄露事件与凭据处置不当直接相关。而在所有处置不当里最普遍、也最容易被忽视的一种就是把敏感凭据硬编码进代码。一、硬编码凭据是怎么送出门的一个典型的场景是这样的开发同学为了省事在config.properties里写下jdbc.passwordAdmin123或在 Python 脚本顶部写死api_key sk-xxxx。这些代码随后被提交到 Git、打包进镜像、部署到容器甚至上传到公开仓库做 Demo。一旦这个仓库因为任何原因泄露——无论是员工误推到公网、供应链被拖库、还是内鬼拷贝——攻击者拿到的不是某一个文件而是整套系统的最高权限入口。源码仓库泄露约等于最高权限账号泄露这句话并不夸张。更要命的是硬编码凭据的暴露面会随时间指数级放大镜像里有一份、配置文件里有一份、运维文档里又有一份离职人员本地还留着一份代码被复制进一个新项目密码跟着一起继承了。等安全团队意识到问题往往已经说不清到底有多少份明文密码在外面漂着。二、为什么改密码解决不了根因很多团队发现硬编码后第一反应是把密码改了不就行了现实是改一次密码要在几十个仓库、上百个配置文件里同步修改任何一处遗漏都会让系统连不上库。于是轮换一拖再拖数据库密码一用就是两三年。凭据长期有效意味着即便已经泄露攻击者也能长期潜伏损失持续扩大。根因不在密码是什么而在于凭据以明文形态存在于磁盘和代码里这件事本身。三、正确的解法让凭据不落盘行业公认的正确打开方式是把凭据从代码和配置中彻底剥离改为运行时动态获取应用不再持有明文密码而是在需要连接数据库时通过 API 向凭据库请求凭据凭据只存在于内存中用完即释放绝不写入磁盘集中管控与审计谁能取什么凭据、何时取、用在哪全程留痕。以安当 SMS 凭据管理系统为例它的设计就遵循这一思路应用通过 API/SDK 动态拉取凭据凭据在内存中使用、用完即销毁同时支持国密 SM4 加密存储根密钥置于 HSM 硬件加密机从架构层面消除代码里找得到明文密码的风险。四、落地成本其实很低很多人担心消除硬编码要重构整套系统。实际上对 Java 技术栈引入一个 Spring Boot Starter 组件在pom.xml加依赖、配置里指定secret_name核心改动不超过 5 行其他语言走 REST API 同样简单。真正的成本不在改代码而在先想清楚哪些凭据要纳管、按什么粒度授权。方案参考安当 SMS 是一款面向企业的凭据管理系统定位对标 HashiCorp Vault 的国产化替代方案。它覆盖静态凭据、动态凭据、中间件集成与 SSH Keys 等全类型凭据的集中纳管支持国密 SM4 加密存储、HSM 硬件根密钥保护、凭据自动轮换与全链路审计并已完成鲲鹏、麒麟等信创环境适配。对需要消除硬编码、统一管控敏感凭据的企业可作为凭据治理的落地参考。注本文为技术解析具体接入方式与兼容性请以官方文档 doc.andang.cn 为准。