GitLeaks 密钥泄露防护

核心问题

密钥一旦提交进 Git 历史，就永远泄露——即使马上删除，也已经存在于别人的克隆、CI 缓存和镜像里。传统扫描往往在 CI 阶段才触发，反馈太晚，开发者已经写完提交甚至合并了代码。

三层防御体系

本技能将扫描左移，覆盖三个关键阶段：

• 提交前（Pre-commit）：在本地用 gitleaks protect 拦截，开发者立刻得到反馈。
• CI 兜底：每个 PR 上全量扫描差异，防止漏网。
• 历史审计：定期用 gitleaks detect --no-git 扫整个仓库，捕获已合并分支的遗留问题。

自定义规则与治理

• 使用 .gitleaks.toml 添加内部 Token 规则。
• 优先用 keywords 缩小扫描面提速，用 entropy 过滤高随机串降噪。
• 测试假密钥用 gitleaks:allow 注释跳过；真实泄露必须立即轮换凭证并清理历史。

适用边界

这是工程防护方法论，不是安全审计或法律意见。发现疑似大规模泄露，仍需按事件流程上报。