你的代码里藏着多少"定时炸弹"？一次源码泄

代码里直接写死密码和密钥，源码一泄露，公司数据库就等于裸奔。

加密算法不等于保险箱：纯 MD5 几秒钟就能被破解。加盐也只是补救，现在最好直接用 BCrypt 这类新算法。至于 AES 加密，要是把密钥也塞在代码里，一旦源码外泄，别人拿着密钥就能直接解密。
别把机密塞进代码：数据库密码、接口密钥甚至身份证号，千万别直接写在源码或配置文件里。前端 JS 里的 API Key 也一样，全公司共享的硬编码密钥，坏一处全线崩溃。
弱口令就是敞开大门：默认密码用“123456”，或者测试数据带真身份证，不仅容易被撞库，还容易惹上法律麻烦。

真正靠谱的做法：密码走环境变量或专门的密钥管理系统；测试环境一律用假数据；展示手机号必须打星号；登录接口还得加上验证码防暴力破解。