Vibe Coder
Credential 管理：存對地方、輪換、洩漏後知道怎麼救
Credential 管理：存對地方、輪換、洩漏後知道怎麼救
OpenAI API Key 洩漏，一個晚上產生幾萬元的帳單，這是真實發生過的案例。Key 的安全從來不是小事，但 AI 生的程式預設會把 Key 寫死在程式碼裡，不會主動提醒你。這一課給你一套完整的 Credential 管理方法，從日常儲存到出事後的急救流程。
出事的時候，前五分鐘最關鍵。這一課最後的急救 SOP，就是要讓你在真的遇到洩漏時，不用臨時現查，能立刻按表操課把損害降到最低。
你將學到什麼
四種 Credential 類型
API Key、OAuth Token、資料庫密碼、JWT Secret 的特性與儲存方式。
儲存策略
從本機的 .env 檔案，一路升級到企業級 Secrets Manager。
輪換策略
什麼時候要換、怎麼換才能做到零停機。
洩漏急救 SOP
不小心把 Key commit 上 GitHub 之後，正確的處理順序。
Credential 的四種類型
| 類型 | 例子 | 特性 | 儲存方式 |
|---|---|---|---|
| API Key | OpenAI、Stripe、SendGrid 的 Key | 長期有效，需要手動輪換 | .env 或 Secrets Manager |
| OAuth Tokens | Google、GitHub 的 Access、Refresh Token | 有過期時間，可自動更新 | 資料庫加密，嚴格保護 |
| 資料庫密碼 | PostgreSQL、MySQL 的連線字串 | 長期有效，包含敏感連線資訊 | Secrets Manager 或 .env，不能進 Git |
| JWT Secret | 簽名 JWT 用的 secret key | 洩漏後所有 JWT 都可偽造 | Secrets Manager，定期輪換 |
儲存策略：從 .env 到 Secrets Manager
| 方式 | 適用 | 優點 | 缺點 |
|---|---|---|---|
| .env 檔案 | 本機開發 | 簡單，直接 | 不能用在多台伺服器，容易誤 commit |
| 平台環境變數 | 單一雲端服務 | 平台提供介面，安全 | 只能在那個平台用 |
| Doppler | 多環境、小團隊 | 集中管理，支援多環境 | 需要安裝 CLI |
| AWS Secrets Manager | 企業級生產環境 | 最安全，支援自動輪換 | 有費用，設定較複雜 |
各平台設定環境變數的位置不同：Vercel 在專案設定裡的環境變數頁面；Railway 在服務的變數頁面；Render 在服務的 Environment 頁面；GitHub Actions 則在 Repository 設定的 Secrets and variables 裡。
輪換策略：何時換、怎麼換不斷服
Credential 不是設定好就永遠不管，需要定期更換，也需要在特定事件後立刻更換：每 90 天定期輪換一次；有人員離職時立刻輪換所有他有存取權的 Credential；只要有任何懷疑洩漏，立刻輪換不要等確認；系統被入侵後，所有 Credential 一律重新申請。
- 申請新 Key：在 API 提供商後台申請一個新的 Key，舊的先不要刪除。
- 更新環境變數：在雲端平台的環境變數設定裡，把 Key 換成新的，新部署的實例會用新 Key。
- 驗證新 Key 可用：確認服務正常運作、API 呼叫有成功。
- 撤銷舊 Key：確認沒有服務還在用舊 Key 後，在 API 提供商後台撤銷舊 Key。
洩漏急救 SOP
- 立刻撤銷：不管是不是真的洩漏，有疑慮就先撤銷，去 API 提供商後台找撤銷或刪除按鈕。
- 申請新 Key：立刻申請新的 Credential 並更新到所有使用它的地方。
- 查帳單：到 API 提供商後台確認有沒有異常使用記錄，聯絡客服申請退款，很多提供商對首次洩漏有保護政策。
- 清除 Git 歷史：如果 Key 是 commit 進 Git 的，要用專門工具從歷史記錄中徹底清除。
AI 生成程式的 Credential 安全檢查清單
收到 AI 生的任何程式碼，先用這份清單過一遍再使用。
- 程式碼裡有沒有任何看起來像 API Key 的字串？
- 有沒有使用環境變數讀取函式來讀取敏感設定？
- .env 檔案有沒有在忽略清單裡？
- 資料庫連線字串、密碼有沒有寫死在程式碼裡？
- JWT Secret 是從環境變數讀取的嗎？
- 程式裡有沒有把 API Key 或 secret 印出來的程式碼？
延伸學習
高效思維與腦內模擬：30 日練習與行動系統
每天一件事，三十天把「想到就做」換成「先在腦中跑一遍再動手」。六週依序練目標設定、腦內模擬、結果檢查、反饋與應變、知識萃取、總結與新目標，每天一課圖文，附可以直接填的練習表。週一給概念、週二實作、週三看案例、週四反思、週五收束，跟著節奏走就好，不必自己安排。
NT$ 1,599
寫給升國一的你的筆記術
寫給剛升上國中的你：筆記不是寫給老師看的，是寫給考前的自己看的。18 章 85 課圖文，從「為什麼要寫」講到七科各自怎麼記，附 78 份可以印出來寫的練習單，以及 80 課家長專區與 34 張三年筆記養成路徑圖。沒有閱讀期限，國一買、國三還在。
NT$ 3,599