# 敏感資訊檢查

## 已處理或範例化

- 建立不含正式值的 `appsettings.example.json` 與 `.env.example`。
- `.gitignore` 排除正式 `appsettings*.json`、`.env*`、憑證／私鑰及 `Properties/PublishProfiles/`，並保留範例檔。
- 原始碼與授權資訊由使用本 API 之網站來源頁提供，並連結對應版本的公開原始碼壓縮檔。
- 目前 `appsettings.json` 中資料庫、Azure 與加密設定均為空值；未將任何值複製到文件。

## 仍需人工確認

- `Properties/PublishProfiles/*.pubxml` 含正式站台 URL、使用者名稱及部署欄位；三個對應的 `.pubxml.user` 均含 `EncryptedPassword`，公開版本必須排除。加密值仍屬敏感部署憑證資料，不應視為可公開。
- `PhotoTkutimes.csproj.user`、`.vs/`、`.idea/` 為本機狀態，不應公開。
- `wwwroot/Photos`、PDF、DOCX 與其他內容檔可能含個資或未授權正式資料，公開前需另行盤點。
- repository 內未發現 `.pfx`、`.p12`、`.pem`、`.key`、`.cer`、`.sql`，但部署平台與備份不在本次範圍。

## Git history

Git 已於本次工作前重新初始化且沒有 commit，無舊歷史可供掃描。因此無法判定先前 repository 歷史是否曾包含秘密。

## 建議輪替

- 任何曾存在於舊 Git history、發布設定或已分享檔案中的資料庫密碼、Azure Account Key、部署密碼（包含 `.pubxml.user` 對應帳密）、API Key、憑證與加密 Key／IV。
- 輪替前由系統管理者確認實際使用中秘密；本工作未執行停用或輪替。
