Microsoft Teams工作流URL含sig参数，是否需安全存储？

• 必须将该URL安全存储，绝对不能公开存入Git仓库
• 原因如下：
  1. 你提到的sig参数本质是嵌入式Bearer Token，是验证请求合法性的核心凭证。任何人只要获取到这个完整URL，就能直接向你的Microsoft Teams工作流发送请求，随意推送消息到对应Teams频道——包括垃圾内容、恶意信息，严重干扰团队协作秩序。
  2. Git仓库（哪怕是私有仓库）存在多种泄露风险：比如权限配置失误导致无关人员访问、仓库被第三方fork后权限失控、备份数据外泄等，一旦URL公开，凭证泄露的风险极高。
• 正确的存储方式：
  • 使用密钥保管库（如Azure Key Vault）这类专门的机密管理服务存储完整URL；
  • 或者在应用/服务中通过环境变量加载该URL，确保明文不会出现在代码或版本控制仓库中；
  • 严格管控访问密钥保管库的权限，仅授权需要使用该URL的服务或人员访问。

内容的提问来源于stack exchange，提问作者Tao Gómez Gil