把数据库密码硬编码传进公开Git仓库，半夜被爬虫扫到，整个库被拖走

18年做商家下单系统，把项目代码传到公开的Git仓库备份，图省事没把config配置文件加进.gitignore，文件里数据库的账号、密码、服务器IP全明文写在里面，传上去的当天半夜，我收到数据库的异常登录告警，打开一看，有个外地IP直接连了我的数据库，把整个用户表和订单表的数据全拖走了，还删了一半测试订单，我当时吓出一身冷汗，赶紧把仓库里的config文件删掉，把数据库密码改成20位随机字符，又把所有配置文件全部加进gitignore，才堵住漏洞。 之前总觉得自己的Git仓库没人看，把配置文件传上去无所谓，结果黑产的爬虫专门扫所有公开Git仓库里的数据库连接字符串，只要你明文写了密码，几秒钟就被爬虫扒走，顺着密码直接连你数据库，把数据全拖走。从那之后我所有项目的配置文件，从一开始就加进.gitignore，绝不含数据库密码、服务器密钥的文件传到公开仓库，再也不犯这种低级错误。 很多新手刚用Git做项目，图省事把所有代码全传到公开仓库，配置文件里的数据库密码明文写在里面，自己都没意识到，结果半夜就被爬虫扫到，整个数据库的数据被人拖走，删库跑路都有可能。真的，传代码到Git之前，一定要把含敏感信息的配置文件加进忽略列表，别把数据库密码明文传到公开仓库，你以为没人看，爬虫24小时在扫。