是否把密钥文件遗忘在了公开目录里：webroot 盘点

适用对象：在虚拟主机/共用服务器或 VPS 上，把多个站点部署到公开目录（public/、public_html/、htdocs/ 等）来运维的人。这里不讲攻击手法，只讲盘点自己的服务器并把洞堵上。.env 本身的防护方法，另请参阅 共用服务器上的 .env 保护。

为什么会发生「公开目录里的遗忘」

实际常见的情形是：为图方便而放的文件，或是样板里一开始就带着的文件，就这样被持续公开下去。

例如，为对接外部服务而制作的含访问令牌的 JSON，被放在 public/ 之下并长期搁置——而且如果它源自共用模板，同一个文件会被复制到多个站点的同一位置，全部都带着同一个洞。即便修好了一个站点，只要其他站点还开着，也毫无意义。同样危险的，还有 .env、数据库备份（.sql）、.git 目录、编辑器备份（*.bak）、快捷方式等的遗忘（相关：路径穿越·.env 被整个公开的事）。

盘点自己的服务器

首先机械地排查「自己的公开目录里有没有看起来像密钥的文件」。这是对自己资产的排查，而不是窥探他人站点的行为。

# 盘点自己服务器的公开目录之下（对自己资产的排查）
find ~ -path '*/public/*' \( -iname '*token*.json' -o -iname '*credential*.json' \
      -o -iname '*.bak' -o -iname '*.sql' -o -iname '.env*' \) 2>/dev/null
# .git 目录被公开同样危险
find ~ -path '*/public/*/.git' -maxdepth 8 2>/dev/null

发现时的处理

发现后，要把移除·吊销·迁移这三点成套执行。缺少任何一点都堵不彻底。

本站是怎么做的

本站以密钥（密钥·令牌·连接信息）既不放进公开目录也不放进代码仓库作为根基。纳入部署产物的只有构建完成的公开资源，密钥则作为运行环境的环境变量，保存在不会被分发的地方。理由是，本文这一类事故是「一处遗忘，一发 URL 全部泄露」的典型。我们把放置位置本身设计成访问控制，并把盘点与 漏洞应对的盘点 放在同一时机一起做。

接下来阅读

• 按技术：共用服务器上的 .env 保护 ／ 漏洞应对实务（盘点）
• 术语：.env 文件与密钥信息 ／ 路径穿越
• 事故：.env 被整个公开的事
• 保管：密钥的安全保管