用途：本技能借助 GitHub MCP Server 的 run_secret_scanning 工具，检测内容、文件或 Git 变更中的敏感信息，如 API 密钥、密码、令牌和凭据。仅在用户明确要求扫描或检查密钥时使用，不应在普通工作流中主动运行。
主要能力：识别访问令牌、API 密钥、承载凭据、密码、含凭据的数据库 DSN、SMTP 认证值、私钥、签名密钥、含私钥块证书、SSH 密钥、OAuth 客户端密钥、刷新令牌、Webhook 密钥、云凭据以及 CI/CD 部署凭据等。扫描结合模式与上下文，靠近 password、token、secret、client_secret、private_key、authorization 等名称的值风险更高；配置文件、脚本和测试夹具中未标注的高熵字符串也值得复核。不确定的发现按敏感处理，但 YOUR_API_KEY_HERE、测试桩和文档示例值可能是误报。
使用方式：需启用 GitHub MCP Server 且其 secret_protection 工具集已开启。在 MCP 设置中配置服务器（Cursor 使用 servers 作为顶层键）： {"mcpServers": {"github": {"type": "http", "url": "https://api.githubcopilot.com/mcp/"}}} 扫描需要仓库 owner 和仓库名（通常来自 git remote get-url origin，或向用户询问）以及待扫描内容。扫描内容时把文本作为单元素数组传给 run_secret_scanning；扫描文件时先用 Read 工具读取内容再传入；扫描暂存变更时先用 git diff --cached 获取内容再传入。默认避免扫描 node_modules、构建产物、编译资源等生成或供应商内容；.gitignore 中的文件（如 .env）仍可能含密钥，仅在用户同意时跳过。
结果处理：发现硬编码值应改为环境变量或 .env 文件；已推送的密钥可能需要轮换凭据，这超出本技能范围。文件内容会发送到 GitHub 的密钥检测基础设施进行服务端扫描，扫描结果返回后不在 GitHub 服务器保留内容。该工具基于所提供的内容工作，无需推送权限或特殊 GitHub 权限。
限制：仅用于用户明确请求的密钥扫描；未提供具体定价、平台兼容范围及性能数据。