密钥扫描

妥善管理您的密钥（环境变量）至关重要。人们向外部泄露密钥的最常见方式是在代码文件中直接硬编码密钥，这使得恶意用户可以利用您的密钥以及您的密钥所访问的服务。

例如，被篡改的 app.py 文件可能如下所示：

import numpy as np
import scipy as sp

api_key = "sw-xyz1234567891213"

def call_inference(prompt: str) -> str:
    result = call_api(prompt, api_key)
    return result

为防止此问题，我们每次推送时都会运行 TruffleHog。TruffleHog 会扫描硬编码的密钥，一旦检测到，我们会向您发送邮件通知。

您只会收到关于已验证密钥的邮件，这些密钥已被确认可用于针对各自提供商的身份验证。但请注意，未验证的密钥并不一定无害或无效：验证可能因技术原因而失败，例如网络错误。

TruffleHog 可以验证在多个服务中均可使用的密钥，它并不局限于 Hugging Face 令牌。

您可以从您的设置中取消这些电子邮件通知。

如果泄露的密钥是 Hugging Face 访问令牌，您可以立即使其失效——包括不属于您的令牌——请参阅 撤销泄露的令牌。