Классическая история: вы пишете пет-проект, используете API (например, ChatGPT или Firebase), и пишете прямо в коде:
val apiKey = "sk-proj-12345..."Потом
git push, и вы идете спать.А утром ваш ключ заблокирован, или с карты списали деньги за чужой трафик.
🤖 Реальность: Боты сканируют публичные репозитории GitHub на наличие строк, похожих на ключи, за секунды после публикации. Удалить коммит не поможет, он уже в кеше у злоумышленников.
Как делать правильно (Middle Way):
Секреты никогда не должны попадать в систему контроля версий (Git). Они должны жить только локально на вашем компьютере.
🤖 Android:
Используйте файл
local.properties. Он по умолчанию добавлен в .gitignore.1. Откройте
local.properties и добавьте: MY_API_KEY="ваш_ключ".2. В
build.gradle (app) считайте его и прокиньте в код:
defaultConfig {
buildConfigField("String", "API_KEY", gradleLocalProperties(rootDir).getProperty("MY_API_KEY"))
}
3. В коде используйте:
BuildConfig.API_KEY.🍏 iOS:
Вариантов много, но самый простой для старта:
1. Создайте файл
Secrets.xcconfig (или .plist).2. Сразу же добавьте его в
.gitignore.3. Запишите ключ туда.
4. В настройках проекта (Build Settings) подключите этот конфиг или считывайте файл программно.
🛡 Золотое правило:
Если вы клонируете свой проект на чистый ноутбук, он не должен собраться сразу. Он должен попросить вас создать локальный файл с ключами. Это не баг, это безопасность.
Признавайтесь, случалось случайно комитить пароли или токены? 👇
#security #android #ios #git #tips #middle #safety
👉 @developer_mobila