用途：在源代码与 git 历史中检测 API 密钥、密码、令牌和私钥，并按类型分类、给出修复建议。适用于发布代码到公开仓库前检查泄露、安全审计中查找硬编码凭据、事件响应中排查历史泄露，以及 CI/CD 中阻止含密钥的提交。
主要能力：自动检测 trufflehog 或 gitleaks；可扫描 git 历史与当前文件；输出 JSON 结果并生成分类摘要；提供修复建议，如立即吊销密钥、用 BFG 或 git-filter-repo 清理历史、改用环境变量或密钥管理服务、用 gitleaks protect --staged -v 做 pre-commit 拦截。
使用方式：需先安装 trufflehog（go install github.com/trufflesecurity/trufflehog/v3@latest）或 gitleaks。设置环境变量 SECSKILL_SCAN_PATH（必填，建议为 git 仓库根目录），可选 SECSKILL_OUTPUT_DIR（默认 ./output）、SECSKILL_SCAN_TOOL（trufflehog 或 gitleaks，默认自动检测）、SECSKILL_SCAN_GIT_HISTORY（默认 true）。脚本会检测工具、执行扫描、分类发现并输出摘要与原始 JSON。
限制：需自行安装扫描工具；大型仓库历史扫描可能较慢，可用 --since-commit HEAD~100 限制范围；默认规则可能误报，可用 .gitleaks.toml 调整；JSON 解析可能因空结果或格式变化失败，需直接查看原始文件。发现密钥时应优先吊销凭据，再考虑重写历史；切勿在日志、issue、Slack 等处暴露密钥值，始终掩码。GitHub、GitLab 等平台自带密钥扫描，可作为补充启用。