Agent Skills
返回列表
🔒

Gitleaks 密钥扫描器

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md 将 @user_3c6cb52e/gitleaks-git-secret-scanner 安装到 AI 助手中。

技能介绍

密钥泄漏：最常见的事故起点

凭据一旦写进 Git 仓库，往往比代码本身更"值钱"。GitHub token、云 API key、SSH 私钥被误提交后，可能在几小时内被爬虫抓取、被 fork 扩散，安全团队发现时往往已滞后数周。Gitleaks 就是为这类问题而生的开源 SAST 工具，专注在 Git 仓库、普通文件和目录中寻找硬编码的密码、API key 和 token——它是目前采用最广的开源密钥扫描器。

核心能力与工作方式

  • 扫描对象灵活：既能扫完整 Git 仓库（含提交历史），也能直接扫单个文件或任意目录
  • 模式化检测：基于规则识别常见密钥形态，覆盖 password、API key、token 等类别
  • 容器化运行：可通过挂载主机目录的方式在容器内扫描指定路径，便于在流水线或临时环境中使用

适用边界与注意点

  • 规则匹配是它的强项，也是它的边界：高度定制、自定义编码的密钥形态可能漏报，扫描结果应视为基线而非保证
  • 上游文档明确列出了使用要求与注意事项，落地前应先过一遍
  • 扫描范围以你给出的路径为准，路径之外的文件不会被纳入结果

使用场景

  • 提交代码前检查新增文件，防止不小心把数据库密码或 API key 写进 Git 历史。
  • 在 CI/CD 流水线中加入自动扫描步骤，拦截包含硬编码 token 的合并请求。
  • 接手历史遗留项目时，全量扫描整个目录树，排查早期遗留的未授权访问密钥。
  • 收到密钥泄漏告警后，使用目录扫描模式快速定位特定配置文件中的硬编码凭据。

适合人员

  • 后端开发工程师，需要在编写业务代码时确保没有将敏感配置硬编码到版本库中。
  • DevOps 工程师，负责在代码合并流水线中集成静态扫描，拦截包含明文密码的提交。
  • 安全审计人员，需要对第三方开源仓库或历史 Git 提交记录进行深度密钥泄漏排查。
  • 项目仓库管理员，负责在项目移交或开源发布前执行全面的凭据安全基线检查。