Artifactory API密钥存于gradle.build是否属安全问题？需撤销吗？

是否属于安全问题？ #

这是严重的安全问题。Artifactory的API密钥和个人用户名属于敏感认证凭据，硬编码到代码仓库的gradle.build文件里，等于把敏感信息直接暴露给所有能访问该仓库的人——不管是内部团队成员，还是如果仓库是公开的话，所有互联网用户都能拿到。

按照JFrog Artifactory的安全最佳实践，这类敏感信息绝对不能提交到版本控制系统，正确的做法是用环境变量、本地私有配置文件（比如~/.gradle/gradle.properties）或者CI/CD平台的保密存储来管理。另外，这也符合OWASP对敏感数据暴露漏洞的定义，属于高危安全风险。

若文件泄露，攻击者能否下载相关依赖？ #

完全可以。只要攻击者拿到了用户名和API密钥，就能直接用这些凭据访问对应的Artifactory实例。如果该账号拥有依赖包的读取权限，攻击者可以下载所有该账号能访问的依赖资源；要是账号还有上传权限，甚至可能篡改现有依赖或者植入恶意包，引发供应链安全风险。

是否应要求开发者撤销该API密钥？ #

必须立即撤销。一旦敏感凭据出现在代码仓库里，哪怕后续删除了文件中的内容，仓库的Git提交历史里依然会留存这些信息，任何人都能通过版本回溯拿到旧的密钥。根据JFrog的安全规范，泄露的凭据必须第一时间撤销，重新生成新的密钥，同时还要排查是否已经出现非授权访问的情况，避免损失扩大。

参考资料 #

• JFrog Artifactory 安全最佳实践文档：明确禁止硬编码认证凭据，推荐使用安全的凭据管理方案
• OWASP 敏感数据暴露漏洞指南：将硬编码敏感凭据列为高危安全漏洞，归入OWASP Top 10范畴

内容的提问来源于stack exchange，提问作者inquirymind