gitleaks

用途：在源码与 git 历史中检测硬编码的敏感凭据，适用于提交前拦截、CI/CD 密钥检测、仓库历史审计与合规要求。主要能力：支持扫描当前目录、指定目录、未提交改动以及 git 历史与指定提交范围；可输出 SARIF、JSON、CSV、JUnit XML 报告；支持通过 .gitleaks.toml 自定义规则与 allowlist、.gitleaksignore 与内联 gitleaks:allow 忽略误报、baseline 基线模式仅报告新增问题、--redact 脱敏。用法：安装可用 brew install gitleaks、Docker、Go 或下载二进制；常用命令如 gitleaks detect、gitleaks protect --staged、gitleaks detect --report-format sarif --report-path results.sarif，可用 --config 指定配置，--exit-code 0 控制退出码。可配置 pre-commit 钩子与 GitHub Actions（gitleaks/gitleaks-action@v2）。限制：基于正则，可能误报测试数据；难以识别严重混淆或编码的密钥；无法判断密钥是否仍然有效；二进制或编译代码检测能力有限；git 历史扫描需要 .git 目录。不适用于代码漏洞检测、依赖扫描、IaC 安全分析或技术栈画像。