fix(security): 移除敏感环境文件版本追踪并清理硬编码Token（v3） #66

2026-06-28T09:21:12+08:00

xiaoxia commented

2026-06-28 09:21:12 +08:00

安全加固 PR #53 重新提交

变更内容

从版本控制中移除敏感环境文件
- git rm --cached .env.production — 生产环境配置不再纳入版本控制
- git rm --cached .env.staging — staging 环境配置不再纳入版本控制
- 文件仍保留在工作目录中，只是不再被 git 追踪
更新 .gitignore
- 移除 .env.staging 的例外规则（之前 !.env.staging 允许其被追踪）
- 确保所有 .env.* 环境配置文件（除 .env.example 外）均被忽略
清理脚本中硬编码的 API Token
- scripts/ci_failure_check.sh：Gitea API Token 改为从环境变量 GITEA_API_TOKEN 读取
- scripts/auto_merge_prs.sh：同上

与 PR#53 的区别

PR#53 因 git-filter-repo 重写历史导致与 develop 分支产生 508 文件冲突，无法正常合并
本 PR 基于最新 develop 分支创建，仅包含本次安全变更，无冲突

使用说明

使用 ci_failure_check.sh 或 auto_merge_prs.sh 前需设置环境变量：

export GITEA_API_TOKEN="your-gitea-token"

## 安全加固 PR #53 重新提交 ### 变更内容 1. **从版本控制中移除敏感环境文件** - `git rm --cached .env.production` — 生产环境配置不再纳入版本控制 - `git rm --cached .env.staging` — staging 环境配置不再纳入版本控制 - 文件仍保留在工作目录中，只是不再被 git 追踪 2. **更新 .gitignore** - 移除 `.env.staging` 的例外规则（之前 `!.env.staging` 允许其被追踪） - 确保所有 `.env.*` 环境配置文件（除 `.env.example` 外）均被忽略 3. **清理脚本中硬编码的 API Token** - `scripts/ci_failure_check.sh`：Gitea API Token 改为从环境变量 `GITEA_API_TOKEN` 读取 - `scripts/auto_merge_prs.sh`：同上 ### 与 PR#53 的区别 - PR#53 因 git-filter-repo 重写历史导致与 develop 分支产生 508 文件冲突，无法正常合并 - 本 PR 基于最新 develop 分支创建，仅包含本次安全变更，无冲突 ### 使用说明使用 ci_failure_check.sh 或 auto_merge_prs.sh 前需设置环境变量： ```bash export GITEA_API_TOKEN="your-gitea-token" ```

xiaoxia added 1 commit 2026-06-28 09:21:12 +08:00

fix(security): 移除敏感环境文件的版本追踪并清理硬编码Token

CI/CD Pipeline / Validate Code Quality And Tests (pull_request) Has been cancelled

Details

CI/CD Pipeline / Frontend Lint (pull_request) Has been cancelled

Details

1015bf2b13

- 从版本控制中移除 .env.production 和 .env.staging（git rm --cached）
- 更新 .gitignore：移除 .env.staging 的例外规则，所有 .env 环境文件不再提交
- scripts/ci_failure_check.sh：硬编码 Gitea API Token 改为环境变量 GITEA_API_TOKEN
- scripts/auto_merge_prs.sh：硬编码 Gitea API Token 改为环境变量 GITEA_API_TOKEN

这是对 PR#53 的重新提交，补充了之前遗漏的脚本中硬编码凭证清理。

xiaoxia merged commit 898b2b8c34 into develop

2026-06-28 09:35:50 +08:00

xiaoxia referenced this issue from a commit

2026-06-28 09:35:52 +08:00

Merge pull request 'fix(security): 移除敏感环境文件版本追踪并清理硬编码Token（v3）' (#66) from fix/security-hardening-v3 into develop

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: xiaoxia/xiaoxia-saas#66