控制访问权限是第一步
公司内部开发软件时，不是所有人都需要看到全部代码。把代码库的访问权限收紧，按角色分配，比如前端工程师不需要看数据库底层逻辑，测试人员也不必接触核心算法。用 GitLab 或 GitHub 的私有仓库功能，设置成员级别：只读、开发、维护、管理员。谁想加人进来，必须经过审批。
举个例子，小李是外包来的前端，只负责页面交互。给他开一个只读权限，连合并代码的按钮都看不到，自然没法把整个项目拖走。
代码分块部署，降低泄露风险
别把所有核心逻辑打包在一个服务里。把关键模块拆出来，比如加密算法、支付校验、用户鉴权，单独部署成内部微服务。主系统调用接口就行，拿不到源码也能跑起来。
就像餐馆后厨，厨师长掌握秘方酱料的做法，普通帮工只知道什么时候放盐。即使有人拍了炒菜视频，也还原不出整道菜的灵魂。
使用代码混淆和加密工具
交付给客户的版本，尤其是客户端程序，尽量做混淆处理。JavaScript 可以用 UglifyJS 或 Terser，Java 用 ProGuard，.NET 用 Dotfuscator。变量名全变成 a、b、c，逻辑结构打乱，哪怕反编译出来也像天书。
function a(b,c){for(var d=0;d<c.length;d++)b+=c.charCodeAt(d);return b;}这串代码原本可能是计算用户名哈希值的逻辑，现在看起来毫无意义。
监控异常行为，及时响应
员工突然在凌晨三点拉取全部历史提交记录，或者用个人U盘连接开发机，这些动作都应该被记录下来。部署审计系统，对接日志平台，设置触发警报规则。
某公司曾发现一名离职员工在最后一天下载了数万行代码，系统自动发邮件通知主管，当天就冻结了账户，避免了更大损失。
签保密协议，建立法律防线
技术手段再强，也防不住故意泄密的人。入职时签 NDA（保密协议），明确写出代码属于公司资产，不得私自复制、传播，违者承担法律责任。虽然不能阻止所有行为，但出了事能追责。
有个团队做过测试，请兼职开发者写模块，没签协议也没限制权限。结果对方直接拿代码去接单，原公司只能吃哑巴亏。
定期轮岗和权限复查
长期负责同一块核心代码的人，容易形成“我写的我最大”的心态。定期轮换职责，既能提升团队灵活性，也能减少单点依赖。同时每季度检查一次权限列表，删掉已离职或调岗人员的访问资格。
就像银行金库，两个人各拿一把钥匙，谁也不能单独开门。交接时清点清楚，不留模糊地带。
本地开发环境也要管住
很多泄露发生在员工自己的电脑上。禁止将代码同步到个人网盘、微信传输助手、QQ 文件夹。IT 部门可以部署终端管理软件，限制剪贴板共享、禁用未授权的外接设备。
有家公司允许开发者用家里电脑办公，但要求安装监控插件。一旦检测到代码被复制到非受信目录，立刻锁定账户并报警。