用途：确保 Hack23 各项目在开发与部署全生命周期中安全处理敏感凭据、API 密钥、令牌和加密密钥，对硬编码密钥零容忍。
主要能力与规则：必须使用环境变量或密钥管理器保存凭据；CI/CD 凭据使用 GitHub Actions secrets；将 .env、.key、.pem、*.p12 加入 .gitignore；按计划轮换密钥（至少每季度）；用 pre-commit 钩子在提交前检测密钥；记录所有密钥访问与轮换事件；怀疑泄露时立即轮换。禁止硬编码密钥、提交 .env 或私钥证书、把密钥写入注释或文档、通过邮件或聊天等未加密渠道共享、跨环境复用同一密钥、使用默认或公开凭据。
存储与轮换建议：API 密钥用 GitHub Secrets 或 AWS Secrets Manager，季度轮换；数据库凭据用 AWS Secrets Manager 或 Vault，季度轮换；JWT 签名密钥用 AWS Secrets Manager，年度轮换；TLS 证书用 AWS Certificate Manager，自动续期；加密密钥用 AWS KMS，年度轮换；服务令牌用 GitHub Secrets，季度轮换。
检测与响应：提交前用 git-secrets、gitleaks 或 trufflehog 扫描，检测到即阻止推送；仓库启用 GitHub Secret Scanning，CI 中运行 gitleaks 并在发现密钥时使构建失败。泄露事件需立即轮换、撤销旧密钥、审查访问日志、通知安全团队并按事件响应计划记录。
适用场景与限制：适用于使用 GitHub 与 AWS 的 Hack23 项目及类似开发流程。资料未提供具体安装命令、配置示例或独立工具实现细节，实际落地需结合所在组织的密钥管理平台与策略。