用途：在提交前后发现源码中硬编码的凭据，降低凭据泄露风险。扫描本地文件系统路径，不涉及网络目标，无需授权门禁。
主要能力：基于正则库匹配多类凭据，包括 AWS 访问密钥（AKIA 前缀）与密钥、GitHub 个人访问令牌与应用安装令牌、Stripe 实时/测试密钥、Anthropic 与 OpenAI API 密钥、Slack 机器人与用户令牌、Google API 密钥、RSA/OpenSSH 等私钥头、JWT 密钥、通用密码字面量、key/token 字段中的高熵字符串，以及非 .env 文件中形似 .env 的 KEY=VALUE 内容。结果含文件路径、行号、严重级别与部分脱敏的匹配文本。
使用方式：需 Python 3.9+。运行 python3 ${CLAUDE_PLUGIN_ROOT}/skills/scanning-for-hardcoded-secrets/scripts/scan_secrets.py /path/to/repo。选项含 --output FILE、--format json|jsonl|markdown、--min-severity、--include-tests、--git-history N、--exclude GLOB、--entropy-only。可用作 pre-commit 门禁或 CI 步骤，也可审计继承代码库。退出码：0 干净、1 高/严重、2 错误。
适用场景：提交前拦截、每次推送的 CI 扫描、并购或接手代码库的凭据排查。
限制：默认排除 tests/、test/、tests/、spec/ 目录，可用 --include-tests 纳入；跳过二进制文件与大于 5 MB 的文件；跳过含 <、>、EXAMPLE、PLACEHOLDER、YOUR_、XXXX 的占位符字符串（可配置）。CRITICAL 需立即轮换并审计调用日志；HIGH 需人工确认；MEDIUM/LOW 为熵启发式结果需人工复核。历史清理需强制推送并与所有克隆方协调，公开仓库常不如直接轮换。其余未提供。