CodeSentinel：发的包密钥全暴露了

在 CI 和上架前自动扫描移动应用与 Web 包中的硬编码密钥和敏感配置

痛点

一位开发者发现外包团队把 Stripe 主密钥和 AWS 访问密钥直接硬编码进 Android APK，任何人下载就能提取。类似问题在中小团队和外包项目中非常普遍，但常规代码审查很难覆盖打包产物。

方案

一个轻量级 CI 插件或本地 CLI，在构建产物层面（APK、IPA、JS bundle、Docker 镜像）扫描硬编码密钥、API token 和敏感配置，输出可操作报告并支持构建阻断。内置常见密钥格式库，避免误报。

用户

外包项目甲方、中小 SaaS 团队、独立开发者

MVP

支持 APK 和 JS bundle 的密钥扫描；内置 Stripe、AWS、GCP、OpenAI 等常见密钥格式匹配；输出 Markdown/JSON 报告；提供 GitHub Action 和本地 CLI 两种运行方式；一键生成修复指引。

变现

本地 CLI 免费；CI 集成和自动阻断功能按月订阅；企业版支持私有规则库和审计日志。

为何现在

外包和 AI 生成代码的比例激增，密钥泄露风险比以往更高，而现有 SAST 工具对打包产物覆盖不足。