用途：对源代码仓库运行 Semgrep Secrets 检测，发现代码中泄露的凭据、API 密钥、密码和访问令牌，结果可关联到组织 Semgrep AppSec Platform。
主要能力：语义分析、改进的熵分析与 HTTP 验证；区分确认有效、确认无效、无验证器等状态，并给出轮换与撤销建议。支持标准扫描、历史扫描（查 Git 提交历史中的旧泄露，仅报告已确认项，需 Semgrep v1.65.0+）、diff-aware 扫描（仅查变更文件，用于 PR/MR 流水线，不做历史扫描）及 JSON/SARIF 输出。启用平台设置后可用 AI 驱动的通用密钥检测，需 Semgrep v1.86.0+ 并开启 Multimodal。
使用方式：先确认 SEMGREP_APP_TOKEN（必需），SEMGREP_APP_URL（默认 https://semgrep.dev）与 SEMGREP_REPO_NAME 可选。运行预检：bash /path/to/semgrep-secret-scan/scripts/preflight.sh，失败时不要继续扫描。再在项目根目录执行：bash <skill-dir>/scripts/run-secret-scan.sh，可加 --historical、--output json、--output sarif、--diff-aware。安装 Semgrep：macOS 用 brew install semgrep，通用用 pip install semgrep，或 docker run --rm -v "${PWD}:/src" semgrep/semgrep semgrep ci --secrets。需在平台 Settings > General > Secrets 启用 Secrets 扫描，可选启用通用密钥与历史扫描。
适用场景：本地开发或 CI/CD 中检测硬编码凭据；流水线里用 diff-aware 做增量检查。
限制：Semgrep Secrets 不读取 .semgrepignore，需在平台 Path Ignores 配置忽略；历史扫描对超过 5 GiB 历史的仓库仅部分扫描；通用密钥检测与历史扫描有版本与平台开关要求。具体收费与价格资料未提供。