appsettings.json mudah dicapai dan senang dibaca. Sebab itulah kita tergoda meletakkan semua tetapan di dalamnya, termasuk kata laluan pangkalan data dan kunci API. Kemudian fail itu masuk Git bersama perubahan lain. Walaupun repo peribadi, secret yang pernah dikongsi tetap perlu dianggap terdedah.
Asingkan mengikut jenis maklumat
Nama aplikasi, tahap log dan tetapan yang boleh diketahui umum boleh tinggal dalam fail konfigurasi. Secret perlu datang daripada sumber yang tidak dikomit: User Secrets untuk pembangunan lokal, pemboleh ubah persekitaran atau pengurus secret yang sesuai untuk produksi. Dokumentasi Microsoft menekankan supaya kata laluan tidak disimpan dalam kod atau fail konfigurasi biasa.
Jika secret sudah terlanjur masuk commit, memadam baris pada commit baharu tidak menjadikannya selamat semula. Putar kunci itu di penyedia asal, kemas kini aplikasi, kemudian semak sama ada sejarah perlu dibersihkan dengan koordinasi pasukan. Rekod siapa perlu diberitahu dan perkhidmatan mana yang menggunakan kunci lama. Tindakan memutar secret lebih penting daripada mencantikkan sejarah Git.
Sediakan .env atau User Secrets lokal mengikut cara projek dan tulis nama key yang diperlukan dalam dokumen onboarding. Jangan tampal nilai produksi ke chat untuk “cepat cuba”. Jika pembangun baharu tidak boleh menjalankan projek tanpa secret sensitif yang tidak relevan, proses pembangunan perlu dipisahkan dengan lebih baik.
Semasa code review, perhatikan nama seperti Password, Token atau ApiKey, tetapi jangan bergantung pada carian teks sahaja. Kadangkala secret muncul dalam URL sambungan atau fail contoh. Contoh konfigurasi yang baik menggunakan nilai kosong atau penanda yang jelas, bersama arahan bagaimana pembangun baharu mengisi nilai lokal mereka.