全球7000種編程項(xiàng)目，有多少在第一天就配對(duì)了安全基線？

我這周坐下來(lái)搭建一個(gè)新項(xiàng)目。本來(lái)很簡(jiǎn)單：接入Cloudflare Workers AI管道，設(shè)幾個(gè)環(huán)境變量，然后開始發(fā)布。但這次我想從第一天就把安全做對(duì)——而不是事后手忙腳亂地打補(bǔ)丁。

幾周前，Vercel的安全漏洞迫使我給一個(gè)現(xiàn)有項(xiàng)目輪換憑證。翻遍文件、檢查哪些暴露了、祈禱沒漏掉什么——這不是你想怎么度過下午的方式。這件事推動(dòng)我寫了一篇關(guān)于密鑰管理的文章：一套在AI智能體讀取代碼時(shí)保護(hù)密鑰的系統(tǒng)。那篇文章是理論。這篇是第一次把它應(yīng)用到全新項(xiàng)目上的樣子。

在那次事件之前，我都是在湊合。大多數(shù)項(xiàng)目靠.gitignore和運(yùn)氣。我知道Claude和Cursor這樣的智能體能索引整個(gè)倉(cāng)庫(kù)。我只是沒認(rèn)真想過，如果它們打開錯(cuò)文件會(huì)發(fā)生什么。

這次不是為了上線功能。是為了搭建一個(gè)足夠"無(wú)聊"的基線——無(wú)聊到大多數(shù)人會(huì)直接跳過它。以下是我實(shí)際配置的內(nèi)容。

AI編碼工具強(qiáng)大是因?yàn)樗鼈冇猩舷挛�。它們能看到你的文件樹、�?dǎo)入語(yǔ)句、配置文件。當(dāng)這些上下文包含真實(shí)密鑰時(shí)，這種能力就變成了 liability。

我正在初始化content-creator倉(cāng)庫(kù)來(lái)調(diào)用Cloudflare Workers AI，這意味著需要在本地存放API密鑰和賬戶ID。最明顯的位置是.env.local。不那么明顯的問題是：如何確保沒有智能體讀到它。

Git忽略不夠。Git能把文件排除在提交之外，但無(wú)法阻止AI助手打開就放在工作目錄里的文件。我需要的是智能體級(jí)別的阻斷，而不僅是版本控制。

我最終創(chuàng)建了三道具體護(hù)欄。

第一道，.claude/settings.json配合denyList。這能阻止Claude Code對(duì).env.local執(zhí)行Read或Bash(cat)操作。這里需要小心，因?yàn)槲蚁Ｍ悄荏w仍能讀取.env.example來(lái)獲取變量名。denyList專門排除了.env.example，同時(shí)阻斷.env.local和.env.*.local。

配置中同時(shí)阻斷三類操作：直接讀取、shell回顯、以及針對(duì)存放實(shí)時(shí)憑證的特定變量的printenv命令。一個(gè)文件承擔(dān)三項(xiàng)職責(zé)。

第二道，每個(gè)AI工具都有自己的文件忽略方式。比如Cursor的索引器不使用.gitignore，所以需要.cursorignore文件。如果你用其他工具，去查它如何處理上下文排除。模式到處都一樣：按名稱告訴智能體不要讀取什么。

第三道，AGENTS.md。我添加了一條明確規(guī)則，告訴智能體絕不能輸出.env*文件中的值。