gitleaks

用 gitleaks 在提交前拦下密钥：在 push 之前堵住 API 密钥泄露

密钥『泄露后再删』就晚了。一旦被提交，密钥就会留在 Git 历史里，被 push 后就要按已泄露处理、吊销并轮换密钥。gitleaks 是一款免费工具，用正则/熵对整个仓库和提交历史进行扫描，检出 API 密钥、私钥、token。防守的关键是两道拦截点＝①用 pre-commit 钩子在本地 push 前拦住②用 CI/cron 定期抓住漏网之鱼。.gitignore 只能阻止新的追踪、无法检出＝还需要单独的检测器。