gitleaks

检测仓库中的密钥与敏感信息

补充说明

gitleaks 扫描 Git 历史、工作区和暂存区中的密钥、token、私钥和密码模式，适合提交前检查和 CI 门禁。

常用示例

gitleaks detect --source . --report-format json --report-path leaks.json
gitleaks detect --source . --no-git
gitleaks protect --staged
gitleaks git --log-opts="--since=2026-01-01"
gitleaks detect --baseline-path baseline.json

.gitleaks.toml：

[allowlist]
paths = [
  '''docs/examples/.*''',
]
regexes = [
  '''AKIAIOSFODNN7EXAMPLE''',
]

易错点与排错

• 默认会扫描完整历史；大仓库耗时长，CI 可限定范围或使用基线。
• 发现密钥后必须轮换；只删文件不能消除已泄露的风险。
• 误报通过 allowlist 管理，不要整体关闭规则。
• protect --staged 适合 pre-commit，但要确保钩子真正安装。
• 浅克隆可能导致历史扫描不完整；CI 需要足够的 fetch depth。
• 扫描通过不代表没有密钥；编码、分片和自定义格式可能漏检。
• 重写历史要用 git-filter-repo 等工具，并协调所有协作者。

相关命令

• git-filter-repo — 清理历史中的敏感文件
• pre-commit — 提交前钩子
• semgrep — 代码安全扫描