Spring Boot推送Bitbucket触发GENERIC_PASSWORD漏洞拦截如何解决

以下方法可根据团队权限、业务场景按需选择：

• 调整配置字段命名（通用无权限要求方案）
  Bitbucket的安全钩子是通过关键字匹配识别敏感信息的，你可以将配置中的password关键字替换为钩子不会触发告警的别名，比如passwd、mail-auth-secret等，同步修改对应Java配置类的属性映射即可：

mail:
  host: myhost.xxx.com
  port: 123
  username: ${MAIL_USERNAME}
  passwd: ENC(${MAIL_PASSWORD})

对应Spring Boot配置类示例：

@ConfigurationProperties(prefix = "mail")
public class MailProperties {
    private String host;
    private Integer port;
    private String username;
    // 字段名和配置项保持一致
    private String passwd;
    // 省略getter、setter
}

• 调整Bitbucket安全扫描规则（需仓库管理员权限）
  如果你有仓库的管理权限，可以在Bitbucket的安全配置中，将该文件路径、GENERIC_PASSWORD规则下ENC()包裹的内容加入扫描白名单，或者调整该规则的检测阈值，避免对加密占位符的误判。
• 敏感配置完全抽离代码仓库（最优安全方案）
  将所有敏感配置项从本地配置文件中移除，通过配置中心（如Nacos、Spring Cloud Config）存储敏感配置，或者在应用部署时通过环境变量注入，从根源上避免代码仓库中出现敏感相关关键字，不会触发扫描告警。
• 临时跳过钩子校验（仅测试场景临时使用，不推荐）
  如果只是临时推送测试、且确认配置中没有明文敏感信息，可以在推送时添加参数跳过预接收钩子校验：
  git push --no-verify
  注意该操作会跳过所有安全校验，存在泄露真实敏感信息的风险，不要在正式生产相关的分支使用。

额外提示：你给出的示例yml配置存在缩进错误，username、password的缩进层级比host、port高，会导致Spring Boot无法正确解析配置，调整为同层级即可。

内容的提问来源于stack exchange，提问作者Diego Avellaneda