把 API 密钥、云凭证写进代码再推到仓库，是开发者最常见的失手。本文讲清公开仓库的镜像爬取为何让撤销成为唯一解，给出处置顺序：先撤销、再清历史、后轮换，以及提交前防护的三层做法。不构成投资建议。