代码里硬编码测试账号忘删，被人翻前端找到，直接登后台发赌博广告

18年做美食站的用户登录功能，为了测试方便，我直接在前端的JS代码里硬编码了测试账号：用户名test，密码123456，想着测试完就删，结果上线那天事太多，改完功能直接点了发布，把这茬彻底忘了。上线刚一周，我登后台一看，文章列表里多了三篇澳门赌博的垃圾文章，发布时间是凌晨三点，我当时就懵了，我自己的管理员密码是随机的，怎么会有人登后台？ 我翻后台登录日志，发现凌晨三点有个外地IP，用test账号直接登进了后台，我回到前端代码里翻，才想起来当初写的测试账号还在JS里，任何人打开浏览器按F12看前端代码，都能看到这个测试账号，输入之后直接登后台发广告。我当时赶紧把代码里的test账号全删了，改了管理员的强密码，给后台登录加了二次验证，又把那三篇垃圾文章删了，折腾了半天才恢复正常。 之前总觉得测试账号写在前端代码里，没人会特意翻JS找，结果黑产的爬虫专门扫前端代码里的硬编码账号密码，看到就直接拿来登后台，你忘了删的一个小测试账号，直接就能被人利用，把你攒了几个月的网站全发上广告。那之后我每次上线前，第一件事就是全局搜代码里的测试账号、测试密码，全删掉，再也不把测试信息留在上线代码里。 很多新手开发跟我当初一样，图方便在代码里硬编码测试账号，上线的时候忙忘了删，结果被人翻前端代码找到，直接登后台发垃圾广告，你攒了好久的内容，被人一晚上全换了。真的，上线前一定要全局搜代码里的测试账号、调试信息，全删掉，别留个小后门给人钻。