Сканирование секретов

Важно правильно управлять вашими секретами (переменными окружения). Наиболее распространённый способ, при котором секреты становятся доступными извне, — это их прямое захардкоживание в файлах кода. Это позволяет злоумышленнику использовать ваши секреты и доступные через них сервисы.

Например, вот как может выглядеть скомпрометированный файл app.py:

import numpy as np
import scipy as sp

api_key = "sw-xyz1234567891213"

def call_inference(prompt: str) -> str:
    result = call_api(prompt, api_key)
    return result

Чтобы предотвратить эту проблему, мы запускаем TruffleHog при каждом вашем push. TruffleHog сканирует репозиторий на наличие захардкоженных секретов, и мы отправим вам электронное письмо при их обнаружении.

Вы будете получать письма только по подтверждённым секретам, то есть тем, которые проверены и подтверждены как рабочие для аутентификации с соответствующими провайдерами. Однако имейте в виду, что неподтверждённые секреты не обязательно безвредны или недействительны: проверка может завершиться ошибкой по техническим причинам, например, из-за сбоя сети.

TruffleHog может проверять секреты, работающие в нескольких сервисах, и не ограничен токенами Hugging Face.

Вы можете отключить эти уведомления по электронной почте в настройках.

Если утекший секрет представляет собой токен доступа Hugging Face, вы можете немедленно отозвать его — в том числе токен, который вам не принадлежит, — см. Отозвать утекший токен.