Quét bí mật trước khi deploy

Khi nào dùng

Trước lần deploy đầu tiên, và mỗi khi thêm tích hợp dịch vụ bên ngoài.

Chuẩn bị

Dự án có Git. AI cần đọc được mã nguồn (agent) hoặc bạn dán các file liên quan.

Prompt

Kiểm tra bảo mật bí mật cho dự án này trước khi tôi deploy. Chỉ báo cáo, chưa sửa.

1. Tìm trong mã nguồn mọi chuỗi trông như khóa API, token, mật khẩu, chuỗi kết nối cơ sở dữ liệu.
   Liệt kê file và dòng.
2. Xác định đoạn code nào chạy phía trình duyệt. Có bí mật nào nằm ở đó không?
3. .gitignore đã có .env chưa? Chạy git log để kiểm tra lịch sử đã từng commit file .env
   hoặc file chứa bí mật chưa (cho tôi lệnh đã chạy và kết quả).
4. Có chỗ nào gọi dịch vụ trả phí trực tiếp từ trình duyệt không?
5. Với mỗi vấn đề: mức độ, và việc tôi phải làm (ví dụ: thu hồi khóa trên trang của dịch vụ).

Kết quả tốt trông thế nào

• Danh sách rõ ràng, có lệnh và kết quả kiểm lịch sử Git.
• Với khóa đã lộ, AI khuyên thu hồi khóa, không chỉ xóa khỏi code.

Dấu hiệu AI làm sai

• Chỉ xóa khóa khỏi code và báo “đã an toàn”.
• Đề xuất “giấu” khóa trong JavaScript bằng cách mã hóa hoặc làm rối (vẫn lộ).

Bước tiếp theo

Đi hết Checklist trước khi deploy.