gitleaks 常见问题
常见问题
| 问题 | 回答 |
|---|---|
| 扫描别人的仓库合法吗 | 不在授权范围内的仓库不要扫。请仅扫描自有或已获书面授权的仓库，扫描结果也不要对外公开。 |
| 发现真实密钥后第一件事做什么 | 立即吊销并轮换凭据。删除提交历史不是止血手段，历史可以改，但副本和缓存不受你控制。 |
| 报告可以直接贴进工单或群里吗 | 不可以。报告必须脱敏，使用 --redact，不要把明文密钥贴进工单、IM 或任何聊天工具。 |
| gitleaks 报出来的都是真的吗 | 不一定。它基于正则与熵值判断，不做有效性验证，会有误报。每一条都需要人工确认。 |
| pre-commit hook 可以绕过吗 | 可以（--no-verify），所以 CI 侧的全历史扫描不能省。本地 hook 是效率工具，不是安全边界。 |
| 应该多久复核一次基线 | 建议每季度一次，逐条确认是否仍需要豁免、责任人是否还在、真实凭据是否已轮换。 |
