gitleaks 用于在已获授权的仓库或源码目录中识别暴露的密钥，主要对应漏洞分析阶段，也可用于复测与闭环。
使用场景：需要审查仓库或文件系统中的密钥泄露、验证源码管理卫生状况、或在密钥清理后进行可重复复测时使用。若仓库或文件系统不在授权范围内，或输出会暴露过多密钥材料，则应避免使用。
输入包括：已授权的仓库或目录路径、输出处理与脱敏规则、与当前问题匹配的扫描深度。流程为：将扫描限定在已授权路径；对匹配结果进行研判，区分真实密钥与误报；在笔记和报告中尽量减少原始密钥值的暴露；将确认的泄露关联到真实影响与凭证范围；保留精确扫描路径以便复测。
常用命令： 检测当前目录密钥： gitleaks detect -s . 扫描本地 git 仓库并输出 JSON 报告： gitleaks git /path/to/contoso-repo --report-path contoso-gitleaks.json --report-format json 仅扫描最近提交（最近 50 个）： gitleaks git /path/to/contoso-repo --log-opts "HEAD~50..HEAD" --report-path contoso-gitleaks.json 提交前扫描暂存文件： gitleaks detect --staged --source . 使用自定义规则配置： gitleaks git /path/to/contoso-repo --config .gitleaks.toml
需记录的证据包括：确认的密钥暴露及其仓库上下文、密钥是活跃还是历史状态、验证时使用的精确扫描路径。安全边界：在证据中脱敏或最小化原始密钥材料；不得将暴露的凭证用于明确授权范围之外的用途。