用途：该技能面向代码生成与代码审查场景，帮助识别并规避“硬编码密钥”反模式（CWE-798）。核心原则是：绝不把密钥、凭据或敏感配置写入受版本控制的文件。
主要能力：给出 Python、JavaScript/Node.js、Java/Spring Boot、C#(ASP.NET Core) 等语言的正反示例：错误做法为在源码中直接写 API_KEY、数据库密码等；正确做法是从环境变量或专用密钥管理服务读取，并在缺失时安全失败抛出异常。
检测方式：使用 gitleaks detect --source . --verbose、trufflehog git file://. --only-verified、git-secrets --scan 扫描仓库历史；用 rg 搜索 password/secret/api_key/token 等关键字；用 trufflehog --entropy=True 或 detect-secrets scan --baseline .secrets.baseline 检测高熵字符串；用 git log 审计 .env、config.json、settings.py 等历史提交。
预防建议：使用环境变量存放开发环境密钥；生产环境使用专用密钥管理服务（如 AWS Secrets Manager、HashiCorp Vault、Google Secret Manager）；将 .env 等加入 .gitignore；在 CI/CD 与 pre-commit 钩子中集成密钥扫描；建立密钥轮换策略。
适用场景：AI 生成代码后审查、代码评审、安全审计与 CI 流程。
限制：资料未提供具体工具的安装步骤、版本要求或定价信息。