闭源代码如何防止泄露
公司花大力气开发的软件，核心代码一旦外泄，可能被竞争对手拿去复制，甚至被恶意利用。尤其在团队协作频繁、远程办公普及的今天，怎么守住这道防线成了关键。
最基础的做法是权限控制。不是每个员工都需要看到全部代码。比如前端同事通常不需要接触后端数据库逻辑，那就只给看对应的模块。用 Git 时可以设置分支权限，主干代码只有少数人能合并。这样即使某个账号泄露，影响也有限。
代码托管平台的安全设置
像 GitHub、GitLab 这类平台，别只用默认配置。开启双因素认证（2FA），强制所有开发者绑定手机或身份验证器。私有仓库必须设为仅限成员访问，定期检查成员列表，离职人员第一时间移出。
还可以设置 IP 白名单，规定只能在公司内网或指定办公地点的网络环境下拉取代码。这样就算密码被人拿到，不在可信网络里也动不了仓库。
本地开发环境的管理
程序员常在自己电脑上写代码，设备安全也不能忽视。公司配发的电脑建议开启全盘加密，比如 Windows 的 BitLocker 或 macOS 的 FileVault。万一笔记本丢了，硬盘拔走也读不出数据。
同时禁用 USB 大容量存储设备，防止有人插个 U 盘把整个项目拷走。这类策略可以通过域控或 MDM 工具统一管理，新员工入职时就自动生效。
代码混淆与敏感信息剥离
有些场景下代码必须交给第三方测试或部署，比如外包团队跑验收。这时候可以先做代码混淆，把变量名改成 a、b、c，函数名也打乱，逻辑还在，但可读性极低。Python 可以用 pyarmor，JavaScript 有 terser 或 javascript-obfuscator。
npm install -g javascript-obfuscator
javascript-obfuscator src/index.js --output dist/index-obfuscated.js配置文件里的数据库密码、API 密钥这些绝对不能硬编码进代码。统一用环境变量加载，本地和服务器各有一套 .env 文件，不提交到仓库。Git 提交前可以用 pre-commit 钩子扫描关键词，比如 "password"、"secret"，发现就拦下来。
日志与行为审计
代码仓库后台开启操作日志，谁在什么时候拉取了哪个分支、下载了哪些文件，全都记下来。异常行为容易暴露问题，比如某人凌晨三点批量克隆多个核心项目，系统可以自动告警。
再加上水印机制，每个员工看到的代码版本带唯一标识，如果网上流出带编号 #108 的副本，很快就能定位源头。虽然不能完全阻止泄露，但足够形成威慑。
防代码泄露不是一招搞定的事，更像是层层设卡。从访问控制到设备管理，再到流程规范，每一块都补牢些，风险自然就降下来了。