gitleaks

用 gitleaks 在提交前拦下密钥：在 push 之前堵住 API 密钥泄露

密钥无法『泄露后再删』。一旦被提交，密钥就会留在 Git 历史里，被 push 后就要按已泄露处理，吊销并轮换密钥。gitleaks 是一款免费工具，用正则和熵对整个仓库和提交历史进行扫描，检出 API 密钥、私钥和 token。防守的关键是两处检查：用 pre-commit 钩子在本地 push 前拦住，再用 CI/cron 抓住漏掉的。.gitignore 只能阻止新的追踪，无法检出，所以仍然需要扫描器。