토큰
전권(classic) 토큰이 채팅·로그에 남으면 계정 마스터키 유출과 동급이다.
→ Fine-grained + 단일 레포 + 최소 권한 + 짧은 만료, 사용 직후 삭제.
★ 값을 코드 안에 넣게 하는 지시 자체가 유출 경로다.
heredoc 안에 앱 비밀번호를 직접 쓰게 안내한 적이 있다 — 평문 노출 → 즉시 폐기·재발급했다.
해법
비밀값은 코드가 아니라 파일 append로 넣는다.
printf 'KEY=%s\n' "값" >> .env값을 셸 인자로 두면 스크롤로 지나가고 코드블록에 박히지 않는다. 그래도 셸 히스토리에는 남으므로, 진짜 안전한 건 사람이 에디터로 직접 편집하는 것이다.
값이 "분명 맞는데" 계속 인증 실패라면 — 지문만 찍어 대조한다
fp = f"{len(V)}자 | {V[:6]}…{V[-4:]}"
has_ws = V != V.strip()실제 사고: 토큰 복붙에서 맨 앞 한 글자가 잘려 45자로 들어갔다. 재배포를 두 번 해도 못 찾다가 서버가 든 값의 지문을 찍고서야 잡았다. 앞뒤 공백·개행, 불필요한 접두어, 엉뚱한 변수명도 같이 본다.