瘋狂太陽-HM

問題¶

• java/conf/local/rsapriv.der（RSA 私鑰）已 commit 進版控
• java/conf/local/sylksoft_gmail_service_account.json（Gmail service account）已 commit
• 對應的 .p12 已有 .gitignore 但 .der 沒擋

影響¶

• RSA 私鑰若對應 JWT 簽章，洩漏可偽造 JWT token
• Gmail service account 可假冒 service@sylksoft.com 寄信

建議修法¶

1. 重新生成一對 RSA 金鑰（rotate JWT 簽章 key）
2. .gitignore 加 **/*.der、**/sylksoft_*_service_account.json
3. 把檔案從 working tree 刪除：git rm --cached java/conf/local/rsapriv.der java/conf/local/sylksoft_gmail_service_account.json
4. 用 BFG 或 git filter-repo 從 history 抹除（force push — 評估是否值得）
5. 金鑰改用 mount / docker secret 注入

範圍¶

• java/conf/local/rsapriv.der, java/conf/local/sylksoft_gmail_service_account.json
• .gitignore 修正（見根目錄 .gitignore）