用途：扫描代码库中的硬编码密钥与凭证，返回结构化发现结果以便修复。适用于项目引导（经 ln-760 安全设置）、提交前钩子校验、CI/CD 安全流水线和人工安全审计。
主要能力：优先使用 gitleaks，其次 trufflehog；两者都不可用时回退到手动模式匹配。可分类严重程度（Critical 为 AWS 密钥、私钥、JWT 密钥；High 为通用密码、连接字符串；Medium 为 API 密钥；Low 为需人工审查的潜在密钥），通过基线与允许列表过滤误报，并按发现类型附带修复指导。
使用方式：先检测可用扫描器，再加载项目 .gitleaks.toml 与 .gitleaksbaseline（不存在则使用默认模式）；对项目根目录执行扫描并解析为 file、line、pattern、raw_match 的归一化格式；按严重程度分组生成报告；最后附加修复步骤并将结果返回编排器 ln-760，附总计扫描数、发现数及严重程度汇总。
限制与规则：任何输出都不得记录真实密钥值，须脱敏；发现的密钥视为已泄露，Critical 需立即轮换；保留已有基线条目；未配置时建议提交前钩子；若密钥可能存在于 Git 历史需警告（需 git-filter-repo）。参考文件包括 references/detection_patterns.md、references/templates/gitleaks_config_template.toml、references/remediation_guide.md。具体费用与平台支持暂未提供。