| 覆盖点 | 工作区扫描、提交前钩子、CI 门禁、历史提交扫描 |
|---|---|
| 常见命中 | 私钥 PEM、云访问密钥、Token、口令文件 |
| 处置原则 | 轮换为先，清理历史为辅 |
扫描工具示例
扫描工具示例
gitleaks detect --source . --verbose
trufflehog filesystem . --only-verified强推改写历史无法收回已推送的内容；发现泄露后必须评估使用记录并轮换对应密钥。
代码库密钥扫描
在提交前与 CI 中加入密钥扫描（gitleaks、trufflehog 等），拦截私钥、Token 与口令进入仓库；一旦推送到远端即视为泄露，删除文件不能撤销，应直接轮换。
易错点
- 发现泄露只删文件不轮换密钥
- 只扫描工作区，不检查历史提交
数据来源与参考
- gitleaks 项目文档
- GitHub 官方文档（推送保护与密钥扫描）