* 起点：前端 JS 中硬编码云 AccessKey 或接口 Token * 关键步：提取密钥、验证权限、调云 API（区分永久 AK 与临时 STS） * 终点：云资源接管 * 最终定级：严重（云资源接管）。密钥仅提取、权限不可用定高危观察项 ### 一、业务背景 前端是公开下发、任何人可读的环境，不具备保密能力。若把永久云 AK 或长期接口 Token 写进 JS 构建产物，任何人打开源码就能提取，验证权限后直接调云 API。接口地图（JS 里枚举的后端路由）同时暴露未文档化接口。 ### 二、系统拓扑 * 前端 JS：硬编码 AK/Token，含后端路由地图。 * 云 API：凭密钥鉴权。 * 云资源：接管目标。 * 信任边界：前端只能放公开标识，任何保密材料必须留在后端。 ### 三、角色与账号 * 前端硬编码的永久 AK / 临时 STS。 * 云账号对应权限。 ### 四、攻击起点 遍历前端 JS 产物，检索密钥特征与后端路由。 发现顺序： * 在 JS 中检索云 AK 特征串与接口 Token。 * 区分永久 AK 与临时