The Python Package Index Blog
·
事件报告：GitHub个人访问令牌泄露
原文英文，约900词，阅读约需4分钟。
📝
内容提要
2024年6月28日，Python软件基金会收到了一份关于泄露的GitHub个人访问令牌的报告。令牌已撤销，未发现恶意活动。开发人员在本地文件中添加了访问令牌以解决GitHub API速率限制问题。提醒设置API令牌过期日期，将.pyc文件视为源代码。
🎯
关键要点
-
2024年6月28日，Python软件基金会收到关于泄露的GitHub个人访问令牌的报告，令牌已撤销，未发现恶意活动。
-
开发人员在本地文件中添加访问令牌以解决GitHub API速率限制问题，未考虑到.pyc文件的安全性。
-
在本地开发cabotage-app时，因懒惰而将访问令牌硬编码到代码中，未打算推送到远程。
-
应用程序在共享卷上运行，导致包含本地未提交更改的.pyc文件泄露了访问令牌。
-
为防止未来泄露，cabotage-app现在完全自托管，构建不再使用公共注册表。
-
开发者已撤销唯一的GitHub访问令牌，并将避免未来创建，确保令牌有到期日期。
-
提醒设置API令牌的到期日期，将.pyc文件视为源代码，并在自动化系统上从干净源代码进行构建。
-
感谢JFrog团队发现并报告此泄露，强调社区合作对提高开源安全的重要性。
❓
延伸问答
GitHub个人访问令牌泄露的事件是什么时候发生的？
事件发生在2024年6月28日。
此次令牌泄露是否导致了恶意活动？
未发现恶意活动。
开发人员是如何泄露GitHub访问令牌的？
开发人员在本地文件中硬编码了访问令牌，未考虑到.pyc文件的安全性。
为了防止未来的令牌泄露，开发者采取了哪些措施？
开发者现在完全自托管应用程序，并确保令牌有到期日期。
为什么开发者没有考虑.pyc文件的安全性？
开发者认为.pyc文件是编译后的字节码，不会泄露敏感信息。
这次事件对开源社区有什么启示？
强调了设置API令牌到期日期和将.pyc文件视为源代码的重要性。
🏷️
