Могут локальный комп взломать если публиковать в гит пароли от локальной базы и прочее?
любой пароль это лишняя лазейка хакеру и облегчение ему жизни.

Например посмотрев код и увидев уязвимость в нем, но требующую пароль (к примеру вы пилите веб-сервис), злоумышленник предлагает зайти вам на свой сайт (пришло письмо или сообщение типа - 'хай смотри у меня три сиськи') а уже javascript на нем делает http запросы по твоей локальной сети, обнаруживает сервис, заходит под опубликованными вами же паролями, эксплуатирует уязвимость и вот оно уже в вашей сети.
NAT сначала нужно обойти прежде чем к вам в комп попасть