核心是切断测试环境与外部网络连通性并禁止访问真实敏感源，须协同网络隔离、数据模拟、运行时约束和权限管控；禁用默认网络、强制mock外部依赖、使用可信测试工具生成敏感字段、非root运行及日志脱敏。
在CI/CD中安全执行含敏感数据的单元测试，核心不是“让测试用到真实敏感数据”，而是**切断测试环境与外部网络的默认连通性，同时禁止测试代码访问任何真实敏感源**。网络隔离只是基础防线，必须配合数据模拟、运行时约束和权限管控三者协同。
明确测试中“敏感数据”的真实来源
单元测试本身不该依赖真实敏感数据。常见误用包括：
- 从本地配置文件（如.env）读取测试用的API密钥或数据库密码
- 调用未打桩的真实第三方服务（如支付网关、身份认证接口）
- 在测试 setup 阶段连接开发机上的本地 Redis 或 MySQL 实例并写入真实用户 token
这些行为使单测失去可重复性、可移植性，也绕过了网络隔离的意义。
用容器级网络隔离锁定测试运行时边界
以 GitHub Actions 或 GitLab CI 为例，在运行单测的 job 中显式禁用默认网络：
- GitHub Actions：添加 network: none 属性，该 job 内所有容器将无法访问互联网或内部服务网络
- GitLab CI：在 job 配置中设置 services: [] 并启用 image: {your-test-image}，避免默认 bridge 网络挂载
- 自建 Kubernetes 流水线：为 test pod 设置 networkPolicy，仅允许 loopback 和 DNS 查询（若需解析 mock 域名）
注意：隔离后仍需确保测试框架（如 Jest、JUnit）不因网络失败而崩溃——应提前配置超时和 fallback 行为。
强制使用可信模拟替代真实敏感调用
网络隔离不能代替数据治理。必须通过工程手段杜绝敏感数据流入测试上下文：
- 所有外部依赖必须用标准 mock 工具拦截：Jest 的 jest.mock()、Java 的 Mockito、Python 的 pytest-mock
- 敏感字段生成走专用测试工具库：例如用 @test-utils/fake-auth 生成结构合规但值固定的 token，而非调用真实 JWT 签发服务
- 禁止在测试代码中出现硬编码敏感字符串：通过 ESLint / Checkstyle 规则拦截 /password|api_key|secret/i 字面量匹配
配套执行权限与日志脱敏
即使网络被隔离，进程仍可能读取宿主机文件或输出敏感内容到日志：
- CI runner 启动测试时，以非 root 用户运行，并挂载只读文件系统（readOnly: true）
- 重定向测试 stdout/stderr 到内存缓冲区，扫描输出流中是否含手机号、邮箱、JWT 结构等模式，命中即中断并报错
- 在 CI 日志中自动屏蔽匹配正则 /[A-Za-z0-9+/]{20,}={0,2}/（Base64-like token 片段）
不复杂但容易忽略。
