<svg xmlns="http://www.w3.org/2000/svg" width="1200" height="680" viewBox="0 0 1200 680" role="img" aria-labelledby="t d">
<title id="t">敏感信息暴露面分层图</title><desc id="d">展示敏感信息从开发、交付、集群存储到运行时使用的暴露面。</desc><rect width="1200" height="680" fill="#f8fafc"/><defs><marker id="a" viewBox="0 0 10 10" refX="8" refY="5" markerWidth="8" markerHeight="8" orient="auto"><path d="M0 0 L10 5 L0 10z" fill="#7c3aed"/></marker><filter id="s" x="-10%" y="-10%" width="120%" height="120%"><feDropShadow dx="0" dy="5" stdDeviation="7" flood-color="#1e1b4b" flood-opacity=".12"/></filter><style>.h{font:700 24px Arial,sans-serif;fill:#231942}.b{font:700 18px Arial,sans-serif;fill:#231942}.s{font:14px Arial,sans-serif;fill:#526174}.m{font:13px Arial,sans-serif;fill:#667085}.card{fill:#fff;stroke:#ddd6fe;stroke-width:2;rx:18;filter:url(#s)}.risk{fill:#fff7ed;stroke:#fed7aa;stroke-width:2;rx:14}.line{stroke:#7c3aed;stroke-width:4;fill:none;marker-end:url(#a)}</style></defs><text x="60" y="60" class="h">敏感信息泄露往往发生在 Secret 之外</text><text x="60" y="90" class="s">Kubernetes Secret 管理要覆盖代码、镜像、CI/CD、etcd、Pod 挂载和日志输出，而不是只检查一个 API 对象。</text><rect x="65" y="150" width="170" height="140" class="card"/><text x="95" y="188" class="b">开发侧</text><text x="95" y="222" class="s">本地配置</text><text x="95" y="248" class="s">Git 提交</text><text x="95" y="274" class="m">风险：明文入库</text><path d="M240 220 L320 220" class="line"/><rect x="325" y="150" width="170" height="140" class="card"/><text x="355" y="188" class="b">交付侧</text><text x="355" y="222" class="s">CI 变量</text><text x="355" y="248" class="s">镜像构建</text><text x="355" y="274" class="m">风险：构建泄露</text><path d="M500 220 L580 220" class="line"/><rect x="585" y="150" width="170" height="140" class="card"/><text x="615" y="188" class="b">集群侧</text><text x="615" y="222" class="s">Secret 对象</text><text x="615" y="248" class="s">etcd 存储</text><text x="615" y="274" class="m">风险：权限过宽</text><path d="M760 220 L840 220" class="line"/><rect x="845" y="150" width="260" height="140" class="card"/><text x="875" y="188" class="b">运行侧</text><text x="875" y="222" class="s">环境变量 / Volume</text><text x="875" y="248" class="s">日志、Dump、调试 Shell</text><text x="875" y="274" class="m">风险：二次暴露</text><rect x="110" y="390" width="260" height="118" class="risk"/><text x="140" y="428" class="b">最低治理线</text><text x="140" y="460" class="s">禁止明文入库</text><text x="140" y="486" class="s">最小权限读取</text><rect x="470" y="390" width="260" height="118" class="risk"/><text x="500" y="428" class="b">平台治理线</text><text x="500" y="460" class="s">静态加密与轮换</text><text x="500" y="486" class="s">审计 Secret 访问</text><rect x="830" y="390" width="260" height="118" class="risk"/><text x="860" y="428" class="b">运行治理线</text><text x="860" y="460" class="s">减少环境变量暴露</text><text x="860" y="486" class="s">限制调试与导出</text><path d="M240 390 C280 350 360 330 410 292" class="line"/><path d="M600 390 C625 350 650 330 670 292" class="line"/><path d="M960 390 C960 350 960 325 960 292" class="line"/></svg>