Configuration File 配置文件

用来设定应用怎么跑的文件。 端口、权限、密钥、日志级别、连接哪个数据库……都写在这里。常见格式:YAML、JSON、.conf、.ini、.env。

为什么是安全重点

配置文件是安全错误配置(OWASP A05)的高发地:

• 默认密码没改
• 调试模式开在生产环境
• 权限设得太宽
• 把密钥、密码硬编码在里面 → 跟着代码进了 公开仓库

vibe-coder 必看

AI 帮你生成配置时,最容易出两类问题:

1. 示例密钥留在里面 —— AI 写的 config.yaml 常带占位密钥,你直接用还推上 GitHub
2. 默认配置不安全 —— AI 给的配置常为”能跑”优化,不为”安全”优化(比如绑定 0.0.0.0 对全网暴露)

审计清单:

• 密钥用环境变量,别写进文件(.env 加进 .gitignore)
• 生产关掉 debug
• 检查监听地址、权限范围
• 改掉所有默认凭据

配置文件也是攻击者进来后爱翻的目标——里面常有通往其他系统的钥匙。改动配置要走 文档记录和变更管理。