用途：对单台 Linux 主机（或其配置即代码仓库渲染出的配置）上的密钥与敏感材料做一次只读审计与加固，目标是把“可读取集合”尽可能缩小，使被攻陷的应用用户几乎找不到可窃取的凭据。
主要能力与检查顺序：1) 广泛文件名扫描，定位 .env、application.yml/properties、config.json、settings.py、PHP .env 等；2) 应用配置文件权限核对；3) systemd 的 Environment= 与 EnvironmentFile=（注意 systemctl show -p Environment 任何本地用户可见，故不建议内联密钥）；4) cron 与计划任务中的内联凭据；5) shell rc 与 history 泄漏（只报命中数与行号，不打印匹配文本）；6) SSH 主机密钥（期望 600 root:root，RHEL 可能 root:ssh_keys）；7) SSH 客户端密钥与 StrictModes 链（home ≤755 且非组/全局可写、.ssh 700、私钥 600、authorized_keys 600）；8) TLS 私钥（Debian/Ubuntu /etc/ssl/private 710 root:ssl-cert，RHEL /etc/pki/tls/private 600 root:root）；9) 签名与 JWT 密钥字面量；10) GPG 材料（~/.gnupg 700，导出到 webroot 的私钥块属发现项，/run/user/<uid>/gnupg 套接字不算密钥材料）；11) 数据库客户端凭据文件（~/.pgpass、~/.my.cnf、.mylogin.cnf、复制配置、DSN 内联密码）；12) 备份脚本与转储落点（file 判断加密或纯 gzip）；13) 环境变量边界的实证核对（/proc/<pid>/environ 受内核与 Yama 限制，但会通过子进程继承、core dump、ps e、set -x 横向泄漏）；14) 轮换姿态（-mtime +730 仅作 Needs-Review 文化指标，不自动定级）；15) 备份/快照卫生，主机内看不到云快照加密状态须如实说明。
使用方式：本模块全部检查为只读，需 root 的命令标记 [ROOT]；无 root 时只能审计全局可读部分与配置仓库，并在报告中声明覆盖缺口（无权限扫描是下界而非完整清单）。先运行 cat /etc/os-release 区分 Debian/Ubuntu 与 RHEL 路径与组再判定。仓库提供 tools/sweeps/sweep-secrets-host.sh 收集 [HSEC-nn] 证据。
输出与限制：交付发现表（位置｜实测 owner:mode｜期望值｜严重度｜脱敏证据片段）外加独立的 Needs-Review 轮换清单。强制脱敏规则：任何真实密钥只打印前四个字符加 …REDACTED，不得写入报告、工单、聊天、shell 转录或证据归档；若命令本身会回显密钥（如 systemctl show -p Environment），只采集中数或脱敏预览。修改类命令仅出现在 Remediation 且需变更窗口批准。应用内令牌存储设计、容器镜像内密钥、网络暴露与 SELinux/AppArmor 标签分析属其他模块，不在本模块范围。实际执行环境的命令可用性、root 权限获取方式、轮换台账是否存在等事实，资料暂未提供。