仅靠.gitignore或人工review无法防范敏感字符串，因前者只忽略文件不检测代码内硬编码（如"password=123456"），后者易遗漏；构建阶段用Kotlin编译器插件可在字节码生成前重写敏感字段，而静态扫描仅告警。
为什么不能只靠 gitignore 或人工 review 来防敏感字符串
因为 gitignore 只管文件，不管代码行；人工 review 容易漏掉硬编码的 "sk-live-xxxx"、"jdbc:mysql://localhost:3306/db?password=123456" 这类嵌在字符串字面量里的内容。更关键的是：这些字符串一旦进 class 文件或 JS bundle，就可能被反编译、抓包、日志 dump 暴露——构建阶段才是最后一道可控防线。
选 Kotlin 编译器插件而非静态扫描工具的核心原因
静态扫描（如 gitleaks）只能告警，无法阻止带敏感字符串的字节码生成；而 Kotlin 编译器插件（如 redacted-compiler-plugin）在 AST 解析后、字节码生成前介入，能直接重写 toString() 中的敏感字段引用，或对标注了 @Redacted 的属性做编译期替换。它不依赖运行时，也不增加额外依赖，且天然支持多平台（JVM/JS/Native）。
- 必须用
compileKotlin阶段插件，不是processResources—— 后者已错过 AST 处理时机 - 插件需声明
requiresClassFiles = true，否则无法访问字段符号表 - 不能用
SourceTask类型插件，它只处理源码文本，无法识别语义（比如区分"123" + "abc"和真正的密钥拼接）
redacted-compiler-plugin 的实际配置与生效边界
它默认只处理 toString() 生成逻辑，但可扩展为拦截所有字符串字面量节点（KtStringTemplateEntry）。真实项目中需配合 Gradle 配置：
plugins {
id("com.example.redacted") version "1.2.0"
}
redacted {
// 自定义注解名，避免和已有注解冲突
annotation = "com.example.Sensitive"
// 替换模式：全掩码 / 保留首尾两位 / 正则匹配后替换
replacement = "****"
// 显式指定要扫描的源集，防止误处理 test 里的 mock 数据
sourceSets = [sourceSets.main]
}
注意：redacted-compiler-plugin 不会修改原始源码，只影响生成的字节码；它对 const val 字符串无效（编译期常量会被内联），这类必须改用资源文件 + 环境变量注入。
容易被忽略的三个破坏点
即使插件配置正确，以下情况仍会导致敏感字符串逃逸：
- 使用
String.format()或StringBuilder.append()拼接密钥，插件无法识别动态构造的敏感值 - 敏感字符串来自
resources/下的 properties/yml 文件，插件默认不扫描资源目录（需额外注册ResourceProcessor） - JS 目标平台下，Kotlin/JS 编译器链路不同，需启用
jsBrowserDevelopmentWebpack阶段的额外字符串擦除 loader
最稳妥的做法是：把插件作为第一道过滤，再配合 CI 阶段的 gitleaks detect --no-git 扫描构建产物 jar/wasm，双保险。
