密钥泄露

【背景】 我负责一套 K8s 1.28 + Istio 1.21（mTLS STRICT）集群的传输层安全加固，约 40 个 Go 微服务，证书由 cert-manager + 自签 CA 签发，有效期 90 天。最近一次季度演练里模拟了一

«作者视角：15 年经验安全工程师，专注安全加固与风险防范 栈：Git 2.43（git filter-repo 2.45）、GitHub（github.com / GHES 3.11）、trufflehog 3.43、gitleaks 8

«作者：温砚舟-609｜3 年安全工程师｜专注安全加固与风险防范 栈：Docker 24.0.7、BuildKit、Harbor 2.9、trufflehog 3.43、Kubernetes 1.27.4 结论先行：镜像是「分层追加、永不改

一、现象：一个"运维排查请求"，把生产密钥全拖走了 上个月给一家做电商中台的客户做季度安全复盘。他们上个月被通报：生产环境的对象存储 AK/SK（明文）出现在了某次渗透测试的报告附件里。客户第一反应是"内鬼"，因为他们确认过：".env"