科技公司保护核心代码（Source Code）不泄漏，通常采用管理流程 + 技术管控 + 物理隔离多层防线。下面按实战常见度梳理：
一、代码资产与访问权限控制（最基础也最关键）
1. 代码仓库权限最小化
使用 GitLab / GitHub Enterprise / Gitee 私有化部署，关闭公网访问。
按项目组设置 最小可读/可写权限，核心模块仅少数人参见。
禁止 fork 到个人命名空间，禁止创建公开仓库。
开启 分支保护（Protected Branch），代码需 Review 后才能合入。
2. 强制代码审查（Code Review）
所有核心代码合入必须经过 MR/PR + 至少 1～2 人 Approve。
Review 记录留痕，便于溯源与震慑违规行为。
3. 身份认证与审计
登录仓库使用 SSO / LDAP / 多因子认证（MFA）。
记录每笔 git clone / pull / push的操作用户、时间、IP、仓库名。
禁止共用账号、匿名访问。
二、开发环境与终端防泄密（DLP 思路）
4. 开发机/终端管控
研发电脑 禁止 USB 拷贝、禁止外接存储设备。
禁止安装未经授权的网盘、即时通讯、截图 OCR 工具。
核心研发可配置 VDI（虚拟桌面），代码只存在服务器端，本地无法下载。
5. 源代码防拷出（Endpoint DLP）
DLP 软件监控并阻断：
将代码文件上传至个人网盘 / 邮箱 / IM
大量 .c/.cpp/.java/.py/.go打包压缩外发
打印或截屏关键代码（部分可加水印）
外发附件可要求审批或留证。
6. 屏幕与文档水印
IDE、终端、文档加 明水印（工号 + 时间 + IP），增加拍照泄密可追溯成本。
三、网络与外联控制
7. 研发网段隔离
研发内网 与办公网、互联网逻辑/物理隔离。
访问外网需经跳板机 / 代理，并有白名单 + 审计。
禁止直连外部 Git、GitHub、Pastebin 等代码托管站（或仅允许指定镜像）。
8. 出口流量检测
防火墙 / NGFW 检测异常大流量、HTTP POST 到陌生域名。
阻止 curl/wget把代码推到外部服务器（配合代理策略）。
四、构建、部署与密钥安全
9. CI/CD 与制品管理
编译、打包在 内部 CI 系统完成，开发人员不直接接触生产包。
制品（Jar / Docker Image）存入内网制品库，下载受控并留审计。
10. 禁止硬编码密钥 / 配置外泄
使用 Vault / KMS 管理 API Key、数据库密码。
用 pre-commit hook 扫描并提交记录告警（如 git-secrets、detect-secrets）。
五、离职与人员生命周期管理
11. 入离职权责
入职签 保密协议（NDA）/ 竞业限制。
离职时：
立即回收仓库 / VPN / VDI 权限
检查近期是否有异常 clone / 下载
要求设备归还与磁盘擦除
12. 安全意识与违规处罚
定期培训（截图发微信群、U 盘拷代码属违规）。
明确违规后果（警告 / 辞退 / 追责），有案例震慑。