用途：为代码仓库设计密钥（secrets）检测规则，识别硬编码的 API key、token、凭据等敏感信息。
主要能力：按类别提供检测模式，包括 AWS 凭据（AKIA 开头的 Access Key ID、Secret Access Key、Session Token）、通用 API key 与 Bearer/Authorization 头、服务专用令牌（GitHub ghp_/gho_/ghu_/ghs_、Slack xoxb-/xoxp-/xoxa-/xoxr-、Stripe sk_live_/sk_test_/rk_live_/pk_live_、Google AIza、Twilio SK/AC、SendGrid SG.、Mailchimp）、数据库连接串（PostgreSQL、MySQL、MongoDB、Redis）与密码变量、私钥（RSA、OpenSSH、EC、PGP、通用 PRIVATE KEY）、JWT 令牌。支持 Shannon 熵分析（阈值约 4.2，按类型区分 api_key 4.2、password 3.5、token 4.5、hash 4.8）与上下文校验（变量名、文件位置、周边代码、字符串格式）。
使用方式：以 YAML 配置规则（id、pattern、severity、enabled、entropy_check、multiline 等），并设置 exclude 路径与模式、report 格式与 fail_on 级别、性能限制（max_file_size 10MB、timeout_per_file 30s、parallel_files 4）。可集成到 CI/CD，例如 GitHub Actions 中使用 gitleaks/gitleaks-action@v2 与 trufflesecurity/trufflehog@main，或通过 .pre-commit-config.yaml 配置 gitleaks protect --verbose --redact 与 detect-secrets --baseline .secrets.baseline。
适用场景：代码提交前扫描、CI 流水线检测、仓库历史审计与密钥泄露响应。
限制与注意：强调精度优先于召回以减少告警疲劳；需维护白名单（占位符、测试值、常见误报）与路径排除（node_modules、vendor、构建产物、锁文件、文档等）；检测到泄露后应立即吊销并轮换凭据、清理 git 历史（git filter-branch、BFG、git-filter-repo，需强制推送并协调团队）。具体安装命令、版本与平台支持以资料所述为准，其余细节暂未提供。