還記得聲稱「AI 已經取代軟體工程師」並開班授課的秦姓「AI 導師/講師」。因為完全不懂程式碼，卻盲目相信 AI 生成的結果，該導師利用 Google AI Studio 製作了一個 AI 改圖網站，推出後反應不錯。但因為她完全不懂程式邏輯，AI 把她的個人 Gemini API Key 直接寫死（Hardcode）在前端程式碼中，公開發佈給所有人使用。

面對這種把密碼寫死（Hardcoded Secrets）的致命行為，絕對不能依賴 Code Review。人眼看 Code 看久了會疲勞，一定會有漏網之魚。

SDET 必須在產線的最前端，架設物理級的探測關口。任何夾帶機密資訊的 Code，連進入版控系統的資格都沒有。

1. 強制安裝 Pre-commit Hook：TruffleHog / Gitleaks
   我們要讓每一個工程師在自己電腦上打 git commit 的那一瞬間，就被系統狠狠打臉。透過設定 pre-commit 檢查，強制掃描每一次變更。

# .pre-commit-config.yaml

repos:
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.2
    hooks:
      - id: gitleaks