Applebee's 应用硬编码密码暴露顾客数据

最近看到一条挺让人后怕的安全新闻：Applebee's 的 Android 应用里被挖出一个硬编码的数据库密码，任何人只要下载应用、把源码翻一翻就能拿到这个凭证，进而访问到注册顾客的个人信息。发现者是一位英国的安全研究员，他用 AI 辅助在几千行代码里定位到了这个凭证。Applebee's 方面已经确认修复了漏洞，但这件事本身值得所有做出海生意的团队认真对待。

硬编码凭证一直是最严重也最容易被忽视的漏洞类型之一。把密码或私钥直接写进客户端代码，等于把钥匙焊在门上——应用有上百万下载量，就意味着上百万人都能拿到这把钥匙。很多团队在快速迭代时图省事，把测试环境的连接串、API key 甚至数据库口令直接塞进配置里，上线前也没人专门审一遍。这次是研究员善意披露，如果落到黑产手里，后果完全不是一个量级。我自己的判断是，这类问题在跨境应用里尤其高发。一方面很多团队同时维护多端，Android、iOS、Web 各有一套构建流程，凭证管理容易失控；另一方面出海产品往往要接支付、推送、数据分析等一堆第三方 SDK，密钥散落在各处，审计成本很高。与其事后补救，不如把密钥管理前置成发布流程里的硬性卡点。给同行几个可以马上落地的动作：
- 上线前用静态扫描工具过一遍源码，重点查硬编码的密码、token 和私钥
- 客户端只保留必要的公开标识，敏感凭证一律走服务端代理或短期令牌
- 第三方 SDK 的密钥按环境隔离，测试和生产的凭证绝不混用
- 建立漏洞响应通道，收到安全研究员的报告能快速确认和修复说到底，用户把个人信息交给一个 App，背后是对品牌的信任。Applebee's 这次算是虚惊一场，但出海团队真该把它当成一次免费的安全课。产品跑得快是好事，可安全这块短板一旦被戳破，赔上的可能是整个市场的口碑。