是否把金鑰檔案遺忘在了公開目錄裡：webroot 盤點

適用對象：在虛擬主機/共用伺服器或 VPS 上，把多個站點部署到公開目錄（public/、public_html/、htdocs/ 等）來維運的人。這裡不講攻擊手法，只講盤點自己的伺服器並把洞堵上。.env 本身的防護方法，另請參閱 共用伺服器上的 .env 保護。

為什麼會發生「公開目錄裡的遺忘」

實際常見的情形是：為圖方便而放的檔案，或是樣板裡一開始就帶著的檔案，就這樣被持續公開下去。

例如，為對接外部服務而製作的含存取權杖的 JSON，被放在 public/ 之下並長期擱置——而且如果它源自共用範本，同一個檔案會被複製到多個站點的同一位置，全部都帶著同一個洞。即便修好了一個站點，只要其他站點還開著，也毫無意義。同樣危險的，還有 .env、資料庫備份（.sql）、.git 目錄、編輯器備份（*.bak）、捷徑等的遺忘（相關：路徑穿越·.env 被整個公開的事）。

盤點自己的伺服器

首先機械地排查「自己的公開目錄裡有沒有看起來像金鑰的檔案」。這是對自己資產的排查，而不是窺探他人站點的行為。

# 盤點自己伺服器的公開目錄之下（對自己資產的排查）
find ~ -path '*/public/*' \( -iname '*token*.json' -o -iname '*credential*.json' \
      -o -iname '*.bak' -o -iname '*.sql' -o -iname '.env*' \) 2>/dev/null
# .git 目錄被公開同樣危險
find ~ -path '*/public/*/.git' -maxdepth 8 2>/dev/null

發現時的處理

發現後，要把移除·撤銷·遷移這三點成套執行。缺少任何一點都堵不徹底。

本站是怎麼做的

本站以金鑰（金鑰·權杖·連線資訊）既不放進公開目錄也不放進程式碼儲存庫作為根基。納入部署產物的只有建置完成的公開資源，金鑰則作為執行環境的環境變數，保存在不會被散發的地方。理由是，本文這一類事故是「一處遺忘，一發 URL 全部外洩」的典型。我們把放置位置本身設計成存取控制，並把盤點與 漏洞因應的盤點 放在同一時機一起做。

接下來閱讀

• 按技術：共用伺服器上的 .env 保護 ／ 漏洞因應實務（盤點）
• 術語：.env 檔案與金鑰資訊 ／ 路徑穿越
• 事故：.env 被整個公開的事
• 保管：金鑰的安全保管