2月18日，IT之家传来消息，上月，网络安全公司Intruder发布了一份报告，该报告对全球500万款应用进行了深度扫描，结果发现，有超过4.2万个机密信息，也就是Secrets，以明文的形式暴露在了JavaScript文件中。

由 IT 之家所援引的博文进行介绍，此次报告的目标在于重点排查隐匿于 JavaScript 打包文件里的机密信息，扫描之后生成的纯文本报告超出了 100MB，总共发现了超过 42000 个暴露的凭证，这些凭证涵盖了 334 种不同类型的机密信息。

在所泄露的机密信息里头，代码仓库token（像GitHub以及GitLab）的风险呈最高态势。参与研究的人员发现了688个这样的token，其中好多不但处在未被锁定激活的状态之下，而且还具备对私有仓库进行毫无限制完全访问的权利，甚至能够将CI / CD流水线里的AWS以及SSH密钥解锁开来。

除此之外，项目管理工具，像 Linear 这样的，其 API 密钥被直接嵌入到前端代码当中，致使整个组织的内部工单，还有项目细节以及下游服务链接，全部都暴露了出来。其他方面的泄露，还涉及 CAD 设计图纸，邮件列表数据，以及数百个活跃的聊天软件 Webhook。

为数众多的机密信息为何会被遗漏呢？该公司觉得，其根本缘由在于传统的自动化扫描工具，对于 JavaScript 是“懵然不知”的。

一种旧时常常被使用的扫描器，一般情况下仅仅会去检查那些已经被知晓的URL路径，并且还会去匹配正则模式，然而它却不会如同浏览器开展工作那样去执行JavaScript或者对页面进行渲染。拿单页应用也就是SPA来举例的话，这种扫描器往往仅仅只是去请求基础URL，可是却把负责页面渲染的JavaScript文件给忽略掉了，以至于隐藏在其中的凭证完全避开了检测。

虽然静态应用程序安全测试也就是 SAST 能够对源代码展开分析，然而它没办法涵盖构建过程当中出现的那些机密信息，存在着许多凭证是在代码进行打包以及部署这个阶段悄悄地进入到前端文件的情况，而这种情况是超出了静态分析的检测范围的。

另一方面，动态应用程序安全测试，即 DAST，尽管它具有强大的功能，对应用爬取以及身份验证是提供支持的，然而，由于其价格昂贵，而且配置之时较为复杂，所以一般情况下，仅仅是在极少数的核心应用当中才会被使用，没有办法对企业范围广大的数字资产实现全面覆盖。