依赖混淆

一、现象：发版后的第二天，密钥出现在了陌生人的手里 上个月给一家做 SaaS 的客户做安全复盘，他们上个月踩了个坑：某次 CI 发版之后，运维在出站日志里翻到一条不该出现的请求——构建机向一个形如 "https://cdn-<已脱敏>.co