问题——“可用的钥匙”暴露在公共网页上；研究人员在一份题为《门垫上的钥匙：网络上暴露的API凭据》的预印本论文中披露，他们对约1000万个网站进行自动化分析后，在约1万个网页中发现并验证了1748个仍然有效的API凭据。此类凭据相当于应用调用第三方服务的“访问令牌”——一旦被不法分子获取——可被用于直接访问云平台、支付系统、代码托管与通信服务等关键基础设施接口，带来比普通账号口令更高的自动化、批量化滥用风险。 原因——开发发布链条复杂、第三方资源叠加与管理习惯薄弱。研究显示，泄露凭据主要出现在网页静态资源之中：约84%位于JavaScript文件，HTML与JSON文件占比较小，甚至出现凭据被嵌入CSS文件的个案。继续分析表明，在JavaScript泄露样本中，约六成来自Webpack等构建工具生成的打包产物，提示部分团队在前端构建、压缩混淆与上线流程中，将原本仅应存在于后端或安全存储中的敏感信息一并“打包上网”。同时，电子邮件与通信服务等凭据泄露中，有相当部分来自页面嵌入的第三方资源，反映出供应链依赖下的权限边界不清、审核不足等问题。研究人员指出，既往安全关注更多集中在代码仓库与源代码搜索，而对生产网站进行动态与全网层面的观察，才能更完整评估风险面。 影响——从数据泄露到业务中断，潜在外溢效应显著。研究人员称，已验证的凭据涉及多类服务，其中云服务与支付服务占比较高。以云平台凭据为例，部分凭据可触达数据库、密钥管理等核心服务组件，一旦被滥用，可能引发数据被非法读取或篡改、计算资源被盗用、业务系统被植入后门等连锁后果。对支付涉及的接口而言，风险不仅在于资金链条，也在于交易数据、客户信息及风控策略可能被探测。对代码托管与构建发布环节而言，若凭据可用于修改代码或推送更新，则存在供应链攻击空间，可能导致大范围终端设备或应用被植入恶意更新，影响范围从单一企业外溢至上下游生态。 对策——从“发现即止血”到“制度化免疫”。研究团队表示，在向相关组织通报后约两周内，暴露凭据数量下降约一半，说明快速响应可以有效止损，但也反映不少组织对泄露“并不知情”，监测机制存在缺口。业内人士建议：一是强化密钥全生命周期管理，做到最小权限、按需授权、短周期轮换与及时吊销，避免长期有效的“永久钥匙”；二是将密钥从前端与公开资源中彻底剥离，采用服务端代理、临时令牌与安全凭据管理服务，严禁将敏感字段写入脚本、配置与打包产物；三是把自动化检测嵌入开发与上线流程，在代码提交、构建、发布与资产巡检阶段进行多点扫描，覆盖静态代码、构建产物与生产站点页面；四是加强第三方脚本与依赖治理，建立清单化管理、内容完整性校验与权限审计机制，降低嵌入资源带来的“连带暴露”；五是完善应急与追踪能力，对异常调用、请求激增与异常地域访问进行告警联动，提升发现与处置效率。 前景——密钥暴露将成为长期治理议题，需与数字化转型同步加固。研究人员的历史分析显示，部分凭据在网络上处于暴露状态的平均时间可达12个月，个别情形甚至持续数年。研究同时指出，此次仅对有限数量的服务提供商凭据进行了验证，相关数据或仅为风险下限。随着企业上云、接口化服务扩张以及前后端分离与微服务普及，API凭据的数量、使用频率与分布范围持续增长，若仍沿用粗放的配置与发布习惯，风险将呈规模化累积。面向未来，建立跨部门的密钥治理规范、推动自动化合规检查、将安全责任落实到产品与工程流程，是降低系统性风险的重要方向。
互联网应用的发展速度虽快，但安全底线不容妥协。API凭据看似简单，实则是关键资源的入口。保护这些凭证不仅需要技术手段，更依赖规范的流程和明确的责任。只有将安全排查前置、治理常态化，才能在数字化转型中确保基础设施和产业链的安全基础。