如何避免开发人员误将凭证提交至Bitbucket代码仓库

1. 本地提交前置校验（pre-commit钩子） #

• 在项目仓库中部署Git pre-commit 钩子脚本，提交前自动扫描指定JSON配置文件的敏感字段（如Connection_string、API_KEY等），校验其值是否为约定的占位符变量（如DATABASE_CONN_STRING），若检测到明文真实凭证直接拦截提交，给出修改提示。
• 钩子脚本可以直接存到仓库根目录的scripts/文件夹下，同时提供一键初始化脚本init_hooks.sh，开发者首次拉取代码后运行一次即可自动将钩子部署到本地.git/hooks目录，降低接入成本。
• 示例校验逻辑（bash脚本片段）：

# 检查config.json中的Connection_string字段值
CONN_VAL=$(jq -r '.Connection_string' config.json)
if [ "$CONN_VAL" != "DATABASE_CONN_STRING" ]; then
    echo "错误：config.json中Connection_string不能使用真实凭证，请替换为占位符DATABASE_CONN_STRING"
    exit 1
fi

2. Bitbucket服务端强校验 #

• 在Bitbucket端配置预接收钩子（pre-receive hook），对所有推送的提交做二次校验，规则和本地pre-commit保持一致，只要检测到配置文件中存在明文凭证就直接拒绝推送，避免开发者手动绕过本地钩子提交敏感信息。

3. 配置模板化拆分 #

• 对现有JSON配置做拆分优化，保留需要提交的非敏感配置项，所有敏感字段统一使用约定占位符，同时新增.env本地配置文件，开发者本地调试时将真实凭证存入.env，本地运行环境自动从.env加载值覆盖JSON中的占位符。
• 将.env加入.gitignore，既保证了通用配置变更可以正常提交，又完全避免了真实凭证被误提交的风险。

4. CI阶段门禁兜底 #

• 在Jenkins流水线的最开始增加配置校验步骤，运行和本地、服务端一致的校验规则，只要检测到配置文件中存在非占位符的敏感值直接标记构建失败，作为最后一层兜底校验，同时留存校验日志方便审计。

• 将所有生产级凭证从Bitbucket仓库变量迁移至Jenkins的凭证管理中心（Credentials Store），针对不同环境（开发、测试、生产）设置不同的凭证访问权限，只有对应环境的构建任务有权限读取凭证，避免生产凭证在研发侧扩散。
• 生产环境部署时优先对接云厂商密钥管理服务（KMS）或者内部专用密钥管理平台，应用启动时动态拉取凭证，不用在构建阶段做变量替换，进一步降低凭证泄露风险。

内容的提问来源于stack exchange，提问作者devops_sd