Vibe Coding 秘密与敏感数据：先画数据流，再审查代码路径

让 AI “把 token 改成环境变量”很容易，但值仍可能在构建时进入客户端 bundle、被错误对象序列化到响应、出现在失败日志、复制进测试 fixture，或随 Prompt 发给外部模型。秘密管理不是把字符串从源码移到 .env，敏感数据治理也不只等于查 API Key 正则。

先区分两类对象。秘密用于证明身份或解密，例如 API key、会话签名密钥、数据库口令和私钥；泄漏后通常需要撤销或轮换。业务敏感数据包括个人资料、私有文档、支付信息和租户内容，即使不能直接登录系统，也受访问、用途和保留限制。NIST SP 800-122讨论受控非密级信息的保护；项目仍需按自身法律和业务要求确认分类，不能让 AI 自动宣布合规。

密钥管理基础解释为什么不能硬编码。本篇进一步审查一个值从产生到销毁走过的每条真实路径。

为值建立流向清单

对每类值记录 owner、来源、存储引用、可读取主体、用途、允许目的地、日志策略、轮换/删除方式和最长保留。环境变量只是运行时注入机制，不是权限边界；同一进程内的任意代码通常都可能读取它。优先使用工作负载身份或短期凭证，确需静态秘密时按服务、环境和用途拆分，避免一把全能 key 被本地、CI 与生产共用。

沿Vibe Coding 请求路径追踪检查入口到副作用：配置加载器是否只在服务端运行，值是否进入全局对象，HTTP 客户端是否把认证 header 放进错误，队列 payload 是否复制用户正文，重试与死信是否延长保留。每个派生物都继承原数据分类，脱敏摘要不能凭名称认定不可逆。

秘密读取本身应留下不含秘密值的审计事实：哪个工作负载、以什么用途、读取哪个版本、结果是否成功。人类紧急读取使用限时权限和工单关联，不能共享下载后的明文文件。定期把秘密管理器访问主体与实际部署身份对账，删除已停用服务、离职账号和不再需要的 CI 权限；“最近没人使用”是调查线索，不是自动删除依据。

构建路径要单独审查。前端公开变量、静态替换、source map、测试快照、构建日志和镜像层都可能永久保存值。客户端需要的是短期、限范围的授权结果，而不是服务端根凭证。AI 若建议通过字符串前缀或文件名判断“这是公开变量”，必须回到框架当前构建规则和产物搜索验证。

限制 AI 上下文和观测面

把源码交给编程 Agent 不代表允许读取 .env、云凭证目录、生产导出或客户 fixture。编程 Agent 沙箱权限可把文件、命令与网络能力限制到任务；上下文包只列变量名、用途、是否存在和秘密代际，不包含真实值。Vibe Coding 任务上下文包中的运行证据也应先做字段级脱敏。

日志、trace 和错误监控采用允许字段清单。认证 header、cookie、URL 查询参数、请求/响应正文和自由文本默认不采集；确需诊断时限定采样、权限和到期时间。高基数控制见AI 遥测高基数预算，但降低基数不会自动完成脱敏。hash 过的低熵 token、邮箱或手机号仍可能被枚举，不应当作匿名化。

开发数据默认合成。测试失败时保存最小场景 ID 和安全摘要，不把完整数据库行贴进 issue 或 Prompt。GitHub secret scanning 等工具适合发现已知格式和合作方模式，但“扫描无告警”不能证明自由文本、未知 token 或业务敏感数据不存在。

用 canary 和轮换证明控制

为测试环境生成无真实权限的 canary secret 和带唯一标记的敏感字段，运行构建、单元/集成测试、错误路径和日志采集后，扫描客户端产物、source map、测试报告、缓存、队列与可访问日志。命中任何未批准位置都失败。正则扫描之外，还按数据结构检查序列化字段，防止编码或截断绕过文本查找。

轮换不能只生成新值。采用“签发新代际 -> 消费者切换 -> 观察旧代命中 -> 撤销旧值 -> 验证失败关闭”的流程，AI 平台密钥轮换给出了双凭证过渡的完整背景。测试旧值撤销后不能继续访问，新值没有扩大 scope，积压任务不会永久携带旧凭证。发现泄漏时先限制暴露与撤销，再定位传播副本，不能只删除 Git 当前行；历史、构建制品和日志需要各自处置。

敏感数据删除也要穿过派生链：主表删除后，缓存、搜索索引、对象存储派生物、队列和允许期限内的备份分别有明确状态。删除测试在任务处理中触发撤销，断言迟到 worker 不能把数据重新写回。

发生暴露时，事件记录受影响秘密/数据类别、可访问范围和时间窗，但调查包继续遵守同一最小化原则。凭证撤销回执与敏感数据副本处置分开跟踪，避免“key 已轮换”被误报为所有已下载数据都已消失。

验收结果应给出每类值的流向、可读主体、未批准落点为零、轮换与撤销回执、删除水位和仍存在的例外。AI 可以帮助搜索传播路径和生成 canary 测试，却不能看到真实秘密，也不能根据一次扫描替团队接受剩余风险。只有值从产生、使用、观测到销毁都能被追踪，秘密管理才不再是一行环境变量配置。