（11754期）ggshield Secret Scanner – 500+密钥泄露智能拦截

500+密钥泄露智能拦截 GitGuardian官方ggshield封装，500+种密钥泄露检测，支持仓库、文件、Docker镜像扫描及Git钩子集成 使用说明 核心用法 ggshield-scanner 是 GitGuardian 官方 CLI 工具 ggshield 的 Moltbot 技能封装，提供五类扫描能力： scan-repo: 全仓库扫描（含历史提交） scan-file: 单文件快速检测 scan-staged: 仅扫描 Git 暂存区变更（CI/CD 友好） scan-docker: 分析 Docker 镜像层中的硬编码密钥 install-hooks: 自动配置 Git pre-commit 钩子，阻断含密钥的提交 显著优点 检测覆盖广：支持 500+ 种密钥类型，涵盖 AWS/GCP/Azure 凭证、Slack/Stripe API 令牌、OAuth 令牌、数据库连接串等 隐私保护设计：仅发送密钥哈希模式与元数据（文件路径、行号），实际密钥内容不上传 企业级可选：支持私有化部署（GitGuardian Enterprise），实现完全离线扫描 开发者体验：毫秒级暂存区扫描、JSON/YAML 输出、自动化钩子安装 潜在局限 强外部依赖：必须持有 GitGuardian API Key，免费账户有调用配额限制 CLI 工具链依赖：需预装 Python 3.8+ 与 ggshield，容器环境需额外配置 误报需人工处理：高熵字符串检测可能标记测试密钥或占位符，需手动维护 .gitguardian/config.json 忽略规则 历史清理非自动：发现历史泄露后，工具仅提示风险，不提供自动重写 Git 历史功能（需配合 git-filter-repo） 适合人群 个人开发者：预防意外推送密钥至公开仓库 DevSecOps 团队：CI/CD 流水线强制卡点 企业安全部门：标准化密钥泄露检测流程 开源维护者：审计贡献者代码中的敏感信息 常规风险 API Key 泄露风险：GITGUARDIANAPIKEY 若被窃取，攻击者可滥用配额或访问扫描元数据 扫描延迟：大型 monorepo 全量扫描可能耗时数分钟 钩子绕过：pre-commit 钩子可通过 --no-verify 跳过，需配合服务端扫描形成纵深防御 原始说明 Detect 500+ types of hardcoded secrets (API keys, credentials, tokens) before they leak into git. Wraps GitGuardian's ggshield CLI.