在 Windows Subsystem for Linux (WSL) 环境中开发时，开发者常需处理 API 密钥、数据库凭证等敏感数据。若这些文件被意外提交至版本控制系统或暴露在共享目录中，将导致严重的安全漏洞。Codex 作为高效的 AI 编码助手，其生成的代码往往包含硬编码的凭据。为了确保项目安全，我们需要建立一套严谨的敏感信息保护机制，防止 Codex 生成的代码泄露关键数据。
识别与隔离敏感数据
首先，必须明确哪些文件属于敏感信息范畴。这通常包括 .env 配置文件、私钥文件（如 .pem）、以及包含数据库连接字符串的脚本。在使用 Codex 生成涉及数据库交互或外部服务调用的代码片段时，应始终使用占位符（如 ${DB_PASSWORD}）代替真实值。切勿直接让 AI 输出明文密码。建议将所有环境变量存储在项目根目录的 .env 文件中，并确保该文件已被正确添加到 .gitignore 列表中，从而在推送代码前自动排除敏感内容。
利用 .gitignore 强化防护
.gitignore 是防止敏感信息泄露的第一道防线。除了标准的 .env 文件外，还应忽略可能由 IDE 或构建工具生成的临时凭证文件。例如，添加 node_modules/.cache、.DS_Store 以及任何包含 *.key 或 *.secret 模式的规则。对于 WSL 用户，还需注意 Linux 文件系统权限设置，确保只有特定用户组可读取包含敏感信息的目录。定期运行 git ls-files -z --exclude-standard | xargs -0 git check-attr -z --stdin "filter.lfs" 等命令检查是否有误提交的敏感文件，能及时发现潜在风险。
自动化扫描与最佳实践
引入自动化安全扫描工具是提升效率的关键。可以使用诸如 gitleaks 或 trufflehog 等开源工具，集成到 CI/CD 流水线中，对每次提交进行实时扫描。当 Codex 生成包含疑似密钥的代码时，这些工具能立即发出警告。此外，培养良好的编码习惯至关重要：永远不要将凭据硬编码在源代码中，而是通过环境变量注入。在 WSL 终端中操作时，避免使用 history 命令记录包含密码的完整指令，可通过 export HISTIGNORE="*password*" 等方式屏蔽敏感历史记录，从源头切断泄露路径。