互联网科技公司源代码保护实战
源代码是一家互联网科技公司的核心资产。我自己做过一个粗略的统计，在服务过的近百家企业中，发生过源代码泄露事件的比例超过百分之四十。也就是说，差不多每两到三家科技公司，就有一家在发展过程中经历过代码泄露。这个数据不低，但更值得关注的是，大多数泄露其实是可以防止的。
先梳理源代码泄露的三种常见路径。
第一种路径是通过公开的代码托管平台泄露。这是最常见也是最容易被忽视的泄露路径。很多开发者有自己的习惯，把代码托管到GitHub上，有时是个人项目，有时是为了方便团队协作。问题在于，GitHub上有很多被爬虫抓取的开源仓库，一旦某个私人仓库因为疏忽被设为公开，代码会在几分钟内被搜索引擎和代码爬虫收录，想撤回来就来不及了。
我们遇到过一家AI创业公司，他们的一个后端工程师为了在家办公方便，把自己负责的模块代码上传到了自己的GitHub私人仓库。这个仓库中有API密钥的配置文件，配置文件包含了公司的数据库连接信息和云服务的认证Token。虽然这个仓库设了私人权限，但这个工程师在配置仓库的时候不小心勾了一个共享给团队的设置，结果一个前同事通过这个共享链接看到了代码。前同事虽然没直接泄密，但这个链接后来被更多的人发现了。等到公司发现的时候，数据库已经被外部扫描了好几次。
这种问题的解决方案并不复杂。公司层面，建立严格的代码管理制度，所有公司代码必须在公司版本控制系统内管理，严禁上传到个人仓库。如果确实需要跟外部协作，使用公司的企业版GitHub账号，做好团队权限控制。技术层面，在代码提交的hook中自动扫描是否包含敏感信息，比如密钥、Token、内网地址，一旦检测到直接拦截提交。
第二种路径是员工离职带走。这是传统也是最难根治的路径。离职员工的代码窃取手段也在升级。以前是拿U盘拷，容易被发现。现在的方式隐蔽得多：离职前一个月开始分批把代码压缩后上传到个人云盘，或者分批发送到个人邮箱，每次少量不易引起注意。还有更隐蔽的，把代码分段手抄或者拍照片，虽然效率低但确实发生过。
科技公司的反制策略也要跟着升级。光靠离职面谈提醒是不够的。有效的做法包括几项。一套有效的代码审计工具，能够监测出短期内大量访问或下载代码库的异常行为。员工离职前至少提前一周通知IT部门，在这个窗口期内收紧权限、加大后台监测力度。离职当天的交接要有专人监督，所有存储在员工个人工作电脑上的代码必须清退。更重要的一点是，在员工入职的保密协议和知识产权协议里就明确约定，员工在职期间开发的代码归属公司所有，离职后不得继续保有和利用。
第三种路径是通过外包和第三方合作泄露。科技公司很普遍地使用外包开发人员，或者跟第三方技术服务商合作。这些外部人员没有跟公司建立直接的雇佣关系，保密管理更难。
外包人员泄露代码的常见场景是，外包团队在完成开发任务之后，把代码片段放到自己的模板库以备后续项目复用。这个习惯在技术层面可以理解，在安全层面问题很大。外包团队的模板库可能存在各种风险。还有的外包人员在跟朋友交流技术的时候，习惯性地把项目中的代码作为技术案例分享出去。
针对外包人员的源代码保护，我们给客户的建议包括：给外包人员的代码仓库做严格的按需授权，只给当前任务的最小代码范围，不能开放整个项目仓库。在外包合同中明确源代码的保密义务和违约责任。项目结束后及时回收所有权限，要求外包方做数据销毁确认。定期对外包合作方做信息安全审计。
说完泄露路径，再说防护方案。系统的防护不能只靠一条防线，需要三个层面的协同。
第一层面是制度层面。要有成文的代码安全管理制度，明确什么能做什么不能做。制度不是摆设，要落到每个开发人员的入职培训里，落到绩效考核里。有些公司做得好的，会把代码安全作为研发人员入职考试的一部分，不合格的重新培训。
第二层面是技术层面。版本控制系统要用企业版，必须支持细粒度的权限控制和完整的操作日志。代码中不能出现硬编码的密钥和Token，要使用集中化的密钥管理系统。离职员工的代码访问权限要在HR发起离职流程的同时立即回收，而不是等到最后一天。代码的异地备份和灾备要有，但备份数据的访问控制要比主系统更严格。
第三层面是运营层面。定期做代码安全审计和漏洞扫描，找到代码管理中的薄弱环节。定期向研发团队做安全通报，用真实的案例教育大家。建立匿名举报机制，鼓励员工发现代码安全问题及时上报。
最后说一条经验。很多科技公司把所有的安全投入都放在防火墙、入侵检测这些外部防护上，忽略了内部代码资产的管理。但实际上，对于科技公司来说，代码是企业最值钱的资产，对内部的管理应该像管钱一样严格。一个员工每天可以随意下载整个项目代码到个人电脑，然后带出公司，这样的环境再好的外部防护也没有意义。
开发环境的内部治理，才是源代码保护的基础。如果你需要帮公司建立一套完整的源代码保护方案，包括制度设计、技术落地和日常运营，我们可以提供技术方案和落地指导。
