錯誤發生在複製的那一刻
這類外洩多半不是攻擊，而是發布個人簡介、作品集頁面或論壇簽名檔前幾分鐘的複製貼上失誤。瀏覽器網址列可能顯示的是動態摘要位址，但你眼前的頁面感覺就像「我的活動」，於是複製到的網址是會驗證請求的那一個，而不是單純標示你個人檔案的那一個。
GitLab 個人活動動態摘要網址含有權杖，會驗證摘要請求。來源
這正是這項檢查重要的原因：權杖不是之後能單獨撤銷的獨立機密，它嵌在連結裡，而這個連結正是你即將公開的東西。
公開個人檔案網址與需驗證的活動動態摘要網址用途不同。來源
請把這句話當作本指南其餘部分的判斷準則。如果你手上的網址能用來取得非公開的動態摘要內容，那它就不是個人檔案連結，不管它看起來多像。
步驟 1：確認你手上是哪一種連結
你不需要了解權杖格式才能做判斷，你需要知道這個網址是從哪個頁面產生的。在公開貼出任何東西之前，先用下表當檢查清單。
| 你複製了什麼 | 常見特徵 | 可公開嗎？ | 該怎麼做 |
|---|---|---|---|
| 個人檔案頁面網址 | 登出狀態下開啟仍顯示你的個人檔案 | 可以，前提是個人檔案本身公開 | 用這個 |
| 活動動態摘要網址 | 含一長串權杖片段並回傳摘要資料 | 不行 | 丟棄；不要貼出、縮短或截圖 |
| 從設定或權杖頁面取得的連結 | 複製時你處於需驗證的區域 | 視為私密 | 換成個人檔案網址 |
| 別人傳給你的連結 | 來源不明 | 未經驗證 | 先以登出狀態開啟再決定是否信任 |
有兩點限制值得說清楚。第一，這張表是編輯端的檢查流程，不是平台功能；GitLab 不會幫你標示連結類型。第二，網址在你自己的登入瀏覽器裡能正常開啟，什麼也證明不了，因為你的工作階段可能提供了陌生訪客沒有的存取權。
一個不會暴露任何東西的實用測試：在未登入的私密視窗中開啟候選連結。如果它要求你驗證身分，或回傳你不希望陌生人讀到的摘要內容，就停下來，回到個人檔案頁面重新複製網址。不要為了「檢查」而把有問題的網址貼進聊天室、客服單或公開貼文。
步驟 2：換成公開的個人檔案網址
一旦你判斷某個連結是錯誤類型，替換就是安全的做法。以下順序能讓私密網址不落入任何可能儲存它的中間位置。
- 關閉顯示動態摘要或含權杖位址的分頁，不要再複製一次。
- 透過網站介面的一般方式前往你的個人檔案，而不是用儲存到動態摘要的書籤。
- 確認這是你要公開的個人檔案，且其可見度符合你的預期。
- 只從個人檔案頁面複製網址。
- 先貼到純文字編輯器，不要直接貼進個人簡介欄位，這樣你可以在它去到任何地方之前看清完整字串。
- 對照上表檢查貼上的字串。如果任何部分看起來像一長串憑證而非名稱或路徑，就丟棄它，從步驟 2 重來。
- 把驗證過的個人檔案網址貼進個人簡介，然後以登出訪客的角度預覽。
步驟 5 不是形式。個人簡介欄位、富文字編輯器和連結預覽都可能儲存或抓取你貼上的內容，而對含權杖網址的預覽抓取，就是這個連結又多去了一個地方。
步驟 3：決定動態摘要本身是否該被看見
個人檔案連結和動態摘要連結是兩個獨立問題。你可能有一個完全安全的個人檔案網址，卻仍對自己的活動揭露了多少資訊感到不安。這是可見度決定，不是連結格式決定，而且應該在你發布任何引導他人前往你個人檔案的內容之前做好。
個人動態摘要包含所屬專案的活動，不論選取哪個活動分頁或篩選條件。來源
這對判斷很重要：如果你依賴某個分頁或篩選條件把某些活動擋在視線之外，上述摘要行為意味著篩選條件不是隱私界線。請判斷整個動態摘要是否可接受，而不是假設較窄的檢視能保護你。
如果你結論是無法接受，下一步是檢視調整個人檔案可見度後還有什麼公開可見，而不是只改一個設定就走。相關的後續指南是讓你的 GitLab 個人檔案變成私密並檢查還剩下什麼公開，它處理這個決定的可見度面向。
如果連結已經分享出去
請假設任何公開貼出的東西都可能已被複製、快取或建立索引，即使你一分鐘後就刪除。刪除貼文不會收回他人或自動化系統已做的副本，本指南不會假裝不是這樣。
請使用網站本身的授權權杖與帳號控制，或其支援管道，來處理已暴露的憑證。確切的選單路徑與可用的復原選項，並非這裡所審閱的資料所能確立，因此請在你的帳號中確認，而不是照著舊介面的記憶步驟操作。不要把暴露的網址貼進公開 issue、求助的社群貼文或第三方網站；描述問題時不要重現該連結。
透過授權途徑採取行動後，重新檢查你曾發布的地方：各網站的個人簡介欄位、簽名檔、作品集頁面、置頂貼文以及你分享過的任何文件。把每一處都換成個人檔案網址，並記下你無法編輯的地方。
使用者名稱搜尋適合用在哪裡，又停在哪裡
如果你擔心的是某個帳號名稱在各網站被重複使用的程度，使用者名稱搜尋可以找出公開的相符結果供你檢視。TraceSeek 涵蓋 3,000+ 個平台，並提供免費首次掃描，依產品說明需 20–30 秒。這是開發線索的步驟，不是所有權證明：另一個網站上相符的帳號名稱可能屬於別人，而一次搜尋也不是所有帳號的完整清單。
搜尋做不到的是告訴你某個你複製的網址是否含有憑證。那個判斷來自步驟 1 的檢查。把兩件事分開：用搜尋找出值得檢視的公開個人檔案，用連結類型檢查決定什麼可以安全公開。
貼上前的快速檢查清單
- 我是從個人檔案頁面複製網址，不是從動態摘要、設定或權杖頁面。
- 完整字串不含像一長串憑證的片段。
- 該連結在無工作階段的私密視窗中能如預期開啟。
- 我在貼進個人簡介欄位前先貼到純文字編輯器。
- 我以登出訪客的角度預覽了個人簡介。
- 我已決定整個活動動態摘要是否可接受被公開。
- 如果我已分享動態摘要連結，我使用了授權的帳號控制或支援管道，且沒有轉貼該連結。
- 我重新檢查了舊連結出現過的每一處。
如果有任何一格未勾選，安全的預設做法是什麼都不發布，回到個人檔案頁面重新複製。