Git 密钥泄露扫描器

解决什么问题

Git 仓库的提交历史是默认保留的：哪怕今天把泄露的 API Key 或 Token 从最新代码里删掉，它仍然留在过往 commit 中。一旦仓库被克隆、fork，或提交历史被推送到远端，这些凭据就等于已经公开。人工 grep 只能覆盖当前工作区，通常看不到 git log 里更早的补丁内容，也容易漏掉格式多变的令牌。

技能如何工作

• 以 Gitleaks 规则定义为基础做 模式匹配扫描，再结合 GitHub Secret Scanning API 的能力，对仓库密钥泄露做识别。
• 通过 git log --all -p 分析全量提交历史，不只检查当前文件状态，而是回到补丁级别排查暴露内容。
• 面向常见敏感对象：API Keys、Tokens、凭据，并汇总在提交历史中出现过的泄露证据。

适用边界与注意点

• 规则库能命中的主要是已知模式；未覆盖的自定义密钥格式仍可能漏报，需要把扫描结果当作强信号而不是绝对结论。
• 扫描范围取决于仓库历史是否完整； shallow clone、改写历史或远端可见性变化，都会影响可检查的提交集合。
• 扫描出的结果应配合密钥轮换、审计与访问控制一起处理；修复泄露不是删除最新代码就结束。