TruffleHog 凭据泄露扫描器

凭据泄露的现实问题

代码仓库、团队协作平台和镜像构建链路中，一次误提交、一次错误配置，都可能让 API Key、访问令牌或云凭据进入本不该出现的日志、Issue 或镜像层。这类泄露往往分散在 Git 仓库历史、Slack 消息、Jira 工作项和 Docker 镜像文件里，人工审计很难覆盖完整范围。即使找到疑似凭据，也很难判断它是否已经失效；而批量扫描如果缺少有效性验证，输出很容易混入大量噪声，让响应变成重复劳动。

技能如何工作

这个技能围绕 TruffleHog 的凭据泄露扫描能力展开，帮助团队把安全检查落到具体的数据源和检查结果上。使用时先把扫描范围与待检查对象准备好，再针对目标执行扫描，而不是凭记忆翻找零散文件。

• 统一覆盖多类数据源：面向 Git 仓库、Slack、Jira 与 Docker 镜像等常见泄露位置，减少漏查。
• 识别多种秘密类型：支持超过 800 种密钥与凭据类型，能对常见云访问密钥、令牌、口令片段等作出分类。
• 验证发现是否仍然有效：在扫描结果中区分疑似泄露与仍可能被使用的凭据，让修复优先级更明确。
• 输出可用于响应的结果：将命中结果整理成可跟进的线索，便于定位问题位置、确认影响面并执行替换或撤销。

适用边界与注意点

扫描效果取决于目标访问权限、数据源类型和上游工具的检测规则。凭据有效性验证依赖上游能力，部分发现可能来自过期记录、测试样例或本地缓存；环境中缺少必要依赖时，结果可能不完整。对于生产账号、生产仓库和跨团队数据源，应在获得授权后扫描，并按泄露凭据的敏感等级执行密钥轮换、访问撤销和凭证重建等后续处置。