用途：Infisical Secret Scanning 是 Infisical 的独立产品，拥有自己的项目类型（secret-scanning），用于检测源代码与开发者系统中泄露的凭据，并指导发现后的响应。
两种能力需区分：云数据源监控已连接的 GitHub、GitLab、Bitbucket 仓库，在密钥被推送后发现；CLI（infisical scan）扫描本地目录、Git 历史、暂存更改与 CI，若接入钩子或流水线可在推送前拦截。建议两者并用：CLI 作为 pre-commit 钩子阻止新泄露，数据源覆盖已有泄露及绕过钩子的情况。
数据源与所需 App Connection：GitHub 对应 github-radar，GitLab 对应 gitlab，Bitbucket 对应 bitbucket。GitHub 扫描必须用 github-radar 连接而非 github，二者安装的 GitHub App 及权限不同，Radar 需读取仓库内容并接收 push webhook，混用是最常见配置错误。三者均在 push 时触发自动扫描。
使用步骤：将 CLI 接入 pre-commit；连接所需仓库的数据源；运行完整扫描建立基线；对发现进行梳理（解决、标记误报或忽略）；调优以减少噪音；启用自动 diff 扫描获得持续覆盖；可考虑蜜罐令牌检测凭据被使用。
限制与原则：扫描是检测而非修复，发现真实泄露应先轮换凭据再清理历史，已推送的凭据视同已泄露，重写历史无法撤销。误报会削弱控制效果，应尽早投入忽略规则与熵调优。优先使用 .infisicalignore 与 infisical-scan:ignore 而非禁用规则。pre-commit 钩子可被 --no-verify 跳过，属建议性而非强制，需配合不可绕过的 CI 扫描。蜜罐令牌检测的是凭据被使用而非泄露。切勿将发现的密钥值完整回显给用户。存储密钥请用 infisical-setup，轮换凭据用 infisical-secret-rotation，撤销动态凭据用 infisical-dynamic-secrets，创建 github-radar 连接用 infisical-app-connections。参考文件：references/scanning-and-findings.md 与 references/cli-and-honey-tokens.md。