# SCRIPT / MÔ TẢ — B3

**Tấn công:** rò rỉ qua **supply chain** — secret (`.env`, private key) vô tình bị commit vào repo, một trong những nguồn lộ credential phổ biến nhất.

**Control chặn thế nào:** `secrets-scan.sh` quét toàn bộ repo, xác nhận không có secret nào bị track. `git ls-files *.pem` cho thấy **chỉ public key** nằm trong repo — private key không bao giờ vào index.

**Text mô tả (phụ đề):**
> "`.env`/private key không được vào index; chỉ public key trong repo. PASS=5 FAIL=0."

**Lưu ý dựng:** chạy trong repo git thật cho kết quả sạch nhất. Kết quả thật là **PASS=5 FAIL=0 WARN=1** — WARN là false-positive (một chuỗi giống API key trong file test `backend/test/llm-judge.test.ts`), **không phải FAIL**, exit vẫn 0. Nếu muốn tránh WARN trên camera có thể nói rõ đây là chuỗi test.