prevent-committing-secrets

在提交时通过预提交（pre-commit）秘密扫描器阻止凭据提交，并确保新仓库自动配备该扫描器，无需人工提醒。适用场景包括：(1) 运行 `git init` 或克隆一个将要提交代码的仓库时；(2) 即将向一个未安装扫描器的仓库提交代码时；(3) 被要求“确保我们永远不会提交密钥”时；(4) 某次提交刚被阻止，有人试图使用 `--no-verify` 绕过检查时。 该方案涵盖以下内容：通过 pre-commit 框架集成 gitleaks，以及将其作为原生 Git 钩子使用；利用 `init.templateDir` 确保新建和克隆的仓库自动配置扫描器；识别六种可跳过钩子的路径（`--no-verify`、干净的合并、重放提交、`core.hooksPath`、仓库内配置文件、缺少可执行权限）；说明默认规则集存在盲区；解释为何仅扫描暂存区差异无法检测历史提交中的敏感信息；强调 GitHub 推送保护和 CI 检查是本地无法绕过的另一半防线；以及当扫描器触发时应采取的措施。

存档时间线

版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。

下载存档内容副本