detect-secrets 密钥基线与审查

解决的问题

代码库中的密钥往往在不经意间被提交，等到发现时可能已经暴露在公共仓库中。传统做法是每次扫描都报告全部历史发现，导致噪声淹没真正需要关注的新风险，团队也很难快速判断这次提交是否引入了新的密钥。密钥漂移难以追踪，历史基线随时间膨胀，审查成本持续上升。

核心工作方式

使用 detect-secrets 对当前 git 代码库执行扫描，生成一份可审计的基线文件（如 .secrets.baseline），其中记录此刻已存在的所有潜在密钥发现。之后每次提交或 CI 检查时，仅针对基线之外的新引入项进行审查，从而把注意力集中在增量变化上。流程上先创建基线，再将基线纳入版本控制，后续用基线对比新增发现，实现“只审查新增”的持续控制。

适用边界与注意点

• 基线不是白名单：已记录的发现不代表被认可，仍需定期回溯处理，避免旧密钥长期滞留。
• 过滤器的取舍：detect-secrets 对非结构化密钥较有效，但需根据仓库语言和内容调整过滤器或自定义规则，以平衡精度与召回。
• 无法修复已提交的密钥：本技能只负责发现和审查，历史密钥一旦进入 git 历史，需另行配合 git filter-repo 等工具处理。