用途
Secret Scanner 是一个面向 AI 智能体的密钥检测技能，主要用于在代码库、配置文件和 git 历史中查找硬编码的敏感凭据，例如 API 密钥、访问令牌、密码、私钥和连接字符串。它适合在代码提交前、安全审计时或持续集成流程中，帮助开发和运维人员发现潜在的凭据泄露风险，并获取相应的修复与轮换指导。
主要能力
该技能支持 200 多个正则检测模式，覆盖 50 多个服务提供商，包括 AWS、GCP、Azure、DigitalOcean、Heroku、GitHub、GitLab、Bitbucket、npm、PyPI、Stripe、PayPal、Twilio、SendGrid、Slack、Discord、MongoDB、PostgreSQL、MySQL、Redis、OpenAI、Anthropic、Firebase、Cloudflare、Datadog、New Relic、Auth0、Okta 以及 JWT 等。它提供熵值分析，用于识别不符合已知模式但可能是密钥的高随机性字符串，默认熵阈值为 4.5。它还支持扫描 git 完整历史或指定数量的提交，查找曾经泄露但可能已被移除的密钥。此外，该技能提供风险评分机制，依据敏感度、暴露程度、可验证性和影响范围计算风险分值，并划分严重等级。它内置误报过滤，对测试文件、示例数据、文档和已知安全模式进行排除，同时支持通过白名单配置文件自定义忽略规则。发现结果可输出为 JSON、Markdown 或 SARIF 格式，便于集成到 GitHub Security 等平台。补救流程涵盖撤销密钥、轮换凭据、清理代码和 git 历史、强制推送、清空缓存以及安装 pre-commit 钩子等步骤。
使用方式
通过 /secret-scanner [command] [path] [options] 调用。可用命令包括：scan <path> 扫描文件或目录；scan-git <path> 扫描 git 历史；audit <path> 执行完整安全审计并生成报告；verify <secret> 检查指定字符串是否匹配密钥模式；providers 列出所有支持的提供商；report 从已有发现结果生成报告。常用选项包括 --format（json、markdown、sarif，默认 markdown）、--output、--severity、--include、--exclude、--entropy、--no-entropy、--allowlist 和 --git-depth。工作流程依次为：确定扫描范围、发现相关文件、应用检测模式、进行熵值分析、结合上下文分析、计算风险评分、生成输出结果。
适用场景
适用于在本地开发中检查代码是否存在硬编码密钥，在提交前通过 pre-commit 钩子阻止敏感信息进入仓库，在 CI/CD 中通过 GitHub Actions 自动扫描并上传 SARIF 结果，以及定期对仓库进行完整安全审计和 git 历史扫描。也可用于验证特定字符串是否为疑似密钥，或了解当前支持的密钥提供商列表。
限制
资料中说明验证功能为可选，默认不会自动向线上 API 验证密钥真实性；检测结果可能包含误报，需要结合白名单和人工判断；熵值检测的阈值可调，不同阈值对应不同的误报率；输出内容中不会展示完整密钥，仅显示前后缀并进行掩码处理。关于实际检测准确率、性能表现、具体收费模式或价格，资料中暂未提供。