立即轮换所有相关密钥并重写git历史：先扫描含token的提交，执行git filter-repo --invert-paths --path auth.json彻底清除，再强制推送并通知协作者重clone，同时补加auth.json到.gitignore并确认生效。
auth.json 被 git commit 了怎么办？
立刻失效密钥，别等“下次改完再删”。auth.json一旦进 Git 历史，就等于把钥匙钉在公告栏上——git rm --cached auth.json只删索引，不擦历史。
- 先用
git log --grep="auth.json"或git rev-list --all | xargs -n1 git grep -l "github.com.*[a-zA-Z0-9]{40}"扫描所有提交里是否含 token - 确认泄露后，立即轮换 GitHub PAT、私有仓库密码等所有凭据，旧 token 作废
- 用
git filter-repo --invert-paths --path auth.json（需安装）重写历史；若已推送到远端，还得强制推送并通知所有协作者重 clone - 补漏：
echo "auth.json" >> .gitignore，再跑git check-ignore -v auth.json确认生效
CI 日志里出现 GITHUB_TOKEN=xxx 怎么办？
不是“关掉日志”就能解决，而是默认开启日志脱敏也不保险。GitHub Actions 的 GITHUB_TOKEN 自动被部分脱敏（显示为 ***），但自定义变量如 MY_API_KEY 不会，且 set-env 等旧方式可能明文打印。
Discussion Composer
下载
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 检查所有
.yml文件：禁用echo "::set-env name=KEY::${{ secrets.KEY }}"（已弃用），改用env:块注入 - 避免在
run步骤中拼接含密钥的命令，比如composer config http-basic.repo.example.com ${{ secrets.USER }} ${{ secrets.PASS }}—— 这类命令本身会被记录，即使参数是 secret - CI 中优先用
COMPOSER_AUTH环境变量传凭证，而非生成auth.json文件；同时确保该变量未出现在任何debug或step summary输出中 - 定期审计 CI 日志归档策略：GitHub 默认保留 90 天，敏感任务建议关闭日志保留或设短生命周期
composer.lock 里藏了哪些间接泄露风险？
composer.lock 本身不存密钥，但它记录了包来源 URL 和 dist 镜像地址——如果这些 URL 含临时 token 或基础认证凭据，就会随 lock 文件一起传播。
- 检查
composer.lock中所有dist.url字段：运行grep -A2 '"dist":' composer.lock | grep url，确认没有https://user:pass@或?token=类似结构 - 私有 Packagist 镜像若用 HTTP Basic 认证，应配置为
http-basic类型凭据（由 Composer 自动注入），而非硬编码在 URL 里 - 使用
composer install --no-dev --prefer-dist可跳过 source 安装路径，减少因source.url暴露内部 Git 地址的风险 - 锁文件被合入主干前，用
composer validate --strict检查格式合法性，它虽不查 URL，但能发现异常字段嵌套，间接提示手工篡改痕迹
vendor/autoload.php 被 Web 直接访问会泄露什么？
不是报错就没事。PHP 解析失败时，旧版 Composer 自动生成器会输出完整类映射数组，暴露项目结构、命名空间甚至测试文件路径——攻击者据此可构造路径遍历或针对性 fuzz。
- Nginx 必须用
location ^~ /vendor/ { return 403; }，不能只靠location /vendor/（前者前缀匹配更严格，防绕过） - Apache 需确保
.htaccess在 vendor 目录下生效，且内容含Deny from all - 验证方式：部署后立刻
curl -I https://yoursite.com/vendor/autoload.php，必须返回403或404，绝不能是200+ PHP 错误堆栈 - 最稳妥做法是把 Web root 设为
public/目录，让vendor/、.env、composer.json全部脱离 HTTP 可达路径——这点比任何规则都可靠
