用途
secleak-check 是一个用于运行或安装仓库安全泄漏检查的技能，集成 BetterLeaks 与 Trivy。它适用于以下场景：被要求扫描泄露的密钥、存在漏洞的依赖、配置错误，或为仓库添加相关防护。
主要能力
- 使用 BetterLeaks 检测仓库中泄露的密钥（secret leak）。
- 使用 Trivy 检测依赖漏洞（vuln）、密钥（secret）与配置错误（misconfig）。
- 支持为仓库添加本地防护措施（guardrails），例如路径禁止规则与暂存文件钩子。
- 支持添加仓库本地的扫描脚本以及 CI 密钥扫描、Dependabot 等设置。
工作流程
- 确认当前工作目录（cwd）与仓库根目录。
- 若是扫描请求，从本技能运行捆绑脚本，而不是运行目标仓库中的脚本。
- 若是配置请求，从 references/guardrails.md 添加仓库本地防护。
- 引用确切的失败工具输出，但绝不打印原始密钥值。
- 若捆绑脚本不可用，使用下方的手动回退命令。
捆绑命令
相对于本 SKILL.md 解析 scripts/secleak-check.sh。常见安装路径示例：
/Users/kregenrek/.agents/skills/secleak-check/scripts/secleak-check.sh
手动回退命令
betterleaks git --no-banner --redact=100 . trivy fs --scanners vuln,secret,misconfig --exit-code 1 .
若存在 .betterleaks.toml 则优先使用。若只有 .gitleaks.toml，则传入 --config .gitleaks.toml；BetterLeaks 出于兼容性支持该配置。
报告方式
- betterleaks 的发现项在确认为误报或完成修复之前，均视为阻塞项（blockers）。
- 对于历史泄漏，仅报告文件、行号、提交、规则与指纹。
- trivy 的依赖漏洞应按严重程度与主要修复版本进行汇总。
- node_modules 内的配置错误发现项属于依赖产物噪音，除非该文件由仓库构建或发布。
防护配置（Guardrail setup）
当被要求加固仓库以防密钥泄漏时：
- 盘点现有的 .betterleaks.toml、.gitleaks.toml、密钥扫描工作流、Dependabot 与钩子工具。
- 添加 .forbidden-paths.regex 和一个暂存文件钩子。
- 添加 .betterleaks.toml，仅针对测试夹具（fixtures）使用基于路径的过滤器。
- 仅当仓库需要一等本地脚本时，才添加仓库本地的 scripts/secleak-check.sh。
- 若涉及 GitHub Actions，添加 CI 密钥扫描与 Dependabot。
- 更新 .gitignore，覆盖运行时目录、环境变量文件、凭据、密钥与基础设施状态。
模板位于 references/guardrails.md；小型示例位于 references/examples.md。
适用场景与限制
适用于需要扫描密钥泄漏、依赖漏洞与配置错误的仓库，以及需要为仓库建立密钥泄漏防护的场合。关于具体支持的平台、是否收费、价格等信息，资料暂未提供。