如何在AWS Lambda中为Git请求追加Bearer Token并禁用Core Dump

方案1：优化Git令牌注入方式，避免令牌出现在进程参数中 #

命令行参数默认会被Core Dump、进程列表等捕获，是本次泄露的核心诱因，优先调整令牌注入逻辑：

• 所有令牌通过Lambda加密环境变量存储，不要明文写在代码或命令参数中
• 用本地仓库临时配置注入，用完立即清除：
  进入/tmp下的Git工作目录后执行：

  git config --local http.extraHeader "Authorization: Bearer $YOUR_TOKEN_ENV"
  

  完成Git操作后立即删除配置，避免残留：

  git config --local --unset http.extraHeader
  

  这种方式令牌不会出现在Git进程的启动参数中，Core Dump也不会打印这部分配置内容。
• 不要使用git -c http.extraHeader="xxx" clone这类带-c参数的执行方式，参数仍会被Core Dump捕获。
• 要求更高的场景可以用Git凭证助手机制，临时写入内存/临时文件，操作完成后直接销毁临时凭证文件即可。

方案2：在Lambda环境禁用/重定向Core Dump #

如果确实需要保留原有命令写法，直接从根源禁止Core Dump输出即可：

• 启动阶段设置Core文件大小为0，完全关闭Core Dump生成，该配置仅作用于当前Lambda执行实例的进程树，无全局影响：

  ulimit -c 0
  

  可以在代码入口调用系统命令执行，也可以写入Lambda层的启动脚本全局生效。
• 若需要保留Core Dump用于排查问题，可以修改Core生成路径直接指向空设备，不会输出到控制台或可访问存储：

  echo "/dev/null" > /proc/sys/kernel/core_pattern
  

  该操作需要Lambda执行角色有对应内核参数修改权限，优先级低于ulimit方案。

额外加固建议 #

• 给Bearer Token设置最小权限，仅开放必要的Git仓库操作权限，尽可能缩短有效期，降低泄露后的影响范围。
• 配置Lambda日志过滤规则，匹配你所用平台的令牌前缀特征（比如GitHub的ghp_、GitLab的glpat-），自动替换为***，避免意外泄露时明文输出。

内容的提问来源于stack exchange，提问作者Jan