如何用huskyCIGitLeaks揪出代码库泄露的AWS密钥秘密扫描配置完整实战指南【免费下载链接】huskyCIPerforming security tests inside your CI项目地址: https://gitcode.com/gh_mirrors/hu/huskyCI你是否担心过 AWS 密钥、SSH 私钥被误提交到代码仓库本文将带你用开源工具huskyCI集成GitLeaks秘密扫描在 CI 流水线中自动揪出代码库泄露的 AWS 密钥把密钥泄露拦截在部署之前。无需深厚安全背景跟着本文 4 步即可完成配置。为什么需要秘密扫描把AWS_SECRET_ACCESS_KEY写进配置文件、再把配置文件提交进 Git是新手最常见的安全隐患。这类泄露删掉代码也没用——密钥仍留在历史提交里任何人都能翻到。️ 人工 review 很难发现隐藏在几百个文件里的密钥⚠️ 只查当前代码不够还要扫 Git 历史记录 最好在 CI 阶段自动拦截而不是等泄露上生产环境GitLeaks 正是为此而生的秘密扫描工具它内置大量正则规则能识别 AWS Secret Key、私有 SSH 密钥、各类 API Key 等并且会遍历整个 Git 历史而不只是最新提交。huskyCI 如何让秘密扫描融入 CIhuskyCI 是一个开源安全测试编排平台你只需在 CI 流水线中加一个 huskyCI 阶段它会自动在容器里跑起 GitLeaks 等扫描器把所有结果严重级别、文件、行号、提交、作者集中存入数据库方便后续分析和度量。工作流程很简单CI 阶段调用 huskyCI API提交仓库地址与分支huskyCI 自动识别代码语言并行启动 GitLeaks、Gosec、Bandit 等扫描容器结果入库按 High / Medium / Low 分级输出到 CI 日志发现高危泄露时流水线直接失败阻断部署所有扫描结果还能在 Dashboard 里以图表形式长期跟踪相关实现可以看看API 侧的扫描编排逻辑在api/securitytest/run.goGitLeaks 结果解析与严重级别映射在 api/securitytest/gitleaks.go扫描容器镜像定义在 deployments/dockerfiles/gitleaks/Dockerfile。一键部署 huskyCI 本地环境先用 Docker Compose 把 huskyCI 跑起来需要 Docker 环境git clone https://gitcode.com/gh_mirrors/hu/huskyCI cd huskyCI/deployments docker compose up -dCompose 文件位于 deployments/docker-compose.yml它会拉起三个核心服务服务作用apihuskyCI API负责编排所有安全扫描端口 8888dockerapi供 API 拉取扫描容器如 GitLeaks 镜像mongodb集中存储扫描结果支撑 Dashboard 统计启动后访问 API 的POST /token接口创建你的访问令牌Husky-Token后续 CLI 会用到。配置 CI 阶段让 GitLeaks 自动跑huskyCI 提供了命令行客户端只需在流水线中加一段# 1. 安装 huskyci CLI源码位于 cli/ 目录入口见 cli/main.go # 2. 配置目标地址与令牌 huskyci target set --endpoint https://your-huskyci:8888 --token YOUR_TOKEN # 3. 在仓库根目录执行分析 huskyci run .CLI 会自动打包当前目录、发送给 API 扫描、轮询状态并打印漏洞详情相关逻辑见 cli/cmd/run.go。在 CI 环境中也可以用环境变量配置无需手动改文件HUSKYCI_CLIENT_API_ADDRhuskyCI API 地址HUSKYCI_CLIENT_TOKEN访问令牌若发现高危级别泄露huskyci run会以非零退出码结束流水线自然失败——这正是我们想要的门禁效果。读懂扫描结果AWS 密钥算什么级别huskyCI 会为每个 GitLeaks 命中的问题标注标题、文件、行号、严重级别和对应代码。严重级别映射规则源码见 api/securitytest/gitleaks.go级别命中规则示例 HIGHSSH 密钥、RSA / PKCS8 / PGP / EC 私钥 MEDIUMAWS Secret Key、Google Cloud API key、Stripe API key、Twilio API key 等云厂商/支付密钥 LOW其他硬编码凭据类扫描输出示例简化[HUSKYCI][!] Title: Hard Coded AWS Secret Key in: config/app.py [HUSKYCI][!] Severity: MEDIUM [HUSKYCI][!] File: config/app.py [HUSKYCI][!] Line: AWS_SECRET_ACCESS_KEY AKIA...此外GitLeaks 结果中还包含提交哈希、作者、提交时间你可以直接定位是谁在哪个 commit 泄露的密钥。两个贴心细节vendor/、node_modules/目录下的命中会被自动跳过减少噪音项目过大导致扫描超时时会生成一条 Low 级别提示而不是静默失败揪出泄露后的补救清单发现 AWS 密钥泄露后按顺序做这 4 件事立即吊销密钥到云控制台禁用并轮换该 Access Key比删代码更重要清理 Git 历史用git filter-branch或 BFG 工具清除含密钥的历史提交并强推检查云账单与访问日志确认密钥是否已被滥用保持 huskyCI 门禁常开让 GitLeaks 成为每次提交前的自动关卡防再犯总结用 huskyCI GitLeaks 做秘密扫描核心就三步Docker Compose 起服务 → CI 加一个huskyci run阶段 → 按 High/Medium/Low 分级响应。配置成本低却能把 AWS 密钥泄露这类高危事故挡在部署之前。如果你管理着多个仓库huskyCI 的数据库 Dashboard 还能帮你长期追踪各仓库的安全趋势。现在就给你的 CI 加一道秘密扫描门禁吧【免费下载链接】huskyCIPerforming security tests inside your CI项目地址: https://gitcode.com/gh_mirrors/hu/huskyCI创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考