# 密钥扫描

妥善管理[您的密钥（环境变量）](./spaces-overview#managing-secrets)至关重要。人们向外部泄露密钥的最常见方式是在代码文件中直接硬编码密钥，这使得恶意用户可以利用您的密钥以及您的密钥所访问的服务。

例如，被篡改的 `app.py` 文件可能如下所示：

```py
import numpy as np
import scipy as sp

api_key = "sw-xyz1234567891213"

def call_inference(prompt: str) -> str:
    result = call_api(prompt, api_key)
    return result
```

为防止此问题，我们每次推送时都会运行 [TruffleHog](https://trufflesecurity.com/trufflehog)。TruffleHog 会扫描硬编码的密钥，一旦检测到，我们会向您发送邮件通知。

您只会收到关于已验证密钥的邮件，这些密钥已被确认可用于针对各自提供商的身份验证。但请注意，未验证的密钥并不一定无害或无效：验证可能因技术原因而失败，例如网络错误。

TruffleHog 可以验证在多个服务中均可使用的密钥，它并不局限于 Hugging Face 令牌。

您可以从[您的设置](https://huggingface.co/settings/notifications)中取消这些电子邮件通知。

如果泄露的密钥是 Hugging Face 访问令牌，您可以立即使其失效——包括不属于您的令牌——请参阅 [撤销泄露的令牌](./security-tokens#revoking-a-leaked-token)。