| 工具 | gitleaks / trufflehog 等 |
|---|---|
| 扫描对象 | 工作区、暂存区、git 历史 |
| 处置 | 轮换凭据 → 清理历史 → 复盘流程 |
gitleaks 常用命令
gitleaks 常用命令
gitleaks detect --source .
gitleaks protect --staged
# CI 中全历史扫描
gitleaks detect --source . --log-opts="--all"发现真实凭据后：先吊销/轮换，再清理历史；只删当前文件、历史里仍可复原。
Secret 扫描：提交前拦截凭据
把密钥泄漏拦在提交与推送阶段：gitleaks 扫描工作区与 git 历史，检测 AWS 密钥、私钥、Token 等模式；发现泄漏须轮换凭据并清理历史，仅删文件不算处置。
易错点
- 只扫工作区不扫历史：旧提交里的密钥长期潜伏
- 用 allowlist 屏蔽测试目录时写太宽：真实泄漏一起被忽略
数据来源与参考
- Gitleaks 官方仓库（github.com/gitleaks/gitleaks）