ripsecrets

ripsecrets 是一个命令行工具，用于防止将密钥提交到源代码中。 ripsecrets 具有一些与其他密钥扫描工具区分开来的功能

ripsecrets 的独特之处

ripsecrets 具有一些与其他密钥扫描工具区分开来的功能

1. 专注于预提交。防止密钥最初被提交比检测到已经提交到仓库中的密钥后处理其后果要便宜得多。

2. 极快。使用密钥扫描器不应该减慢您的开发工作流程，因此 ripsecrets 比其他工具快 95 倍以上。 了解更多关于其性能设计的信息。

3. 始终本地操作。许多其他密钥扫描器试图验证密钥是否有效，这在实践中意味着自动将源代码中的字符串发送到第三方服务。该决策中存在安全性与便利性之间的权衡，但 ripsecrets 设计为最佳的“仅本地”工具，永远不会将数据从您的计算机发送出去。

4. 误报率低。虽然仅本地工具的误报率总是比验证密钥的工具高，但 ripsecrets 使用基于概率理论的策略，以便比其他工具更准确地检测密钥。

5. 单个可执行文件，无依赖。安装 ripsecrets 就像将可执行文件复制到您的 bin 目录一样简单。

用法

默认情况下，运行 ripsecrets 将递归地搜索当前目录中的源代码文件以查找密钥。

$ ripsecrets

对于每个找到的密钥，它将打印出文件、行号和找到的密钥。如果找到任何密钥，它将以非零状态码退出。

您可以选择作为参数传递要搜索的文件和目录的列表。

$ ripsecrets file1 file2 dir1

这通常用于搜索即将提交到源控制中的文件，以避免意外包含的秘密。

将 ripsecrets 安装为 pre-commit 钩子

您可以使用以下命令在当前 git 仓库中自动安装 ripsecrets 作为 pre-commit 钩子：

$ ripsecrets --install-pre-commit

如果您想手动安装 ripsecrets，可以将以下命令添加到您的 pre-commit 脚本中：

ripsecrets --strict-ignore `git diff --cached --name-only --diff-filter=ACM`

传递 --strict-ignore 确保在运行 secrets 作为 pre-commit 时尊重您的 .secretsignore 文件。

安装

Homebrew

ripsecrets 可在 macOS 和 Linux 的 Homebrew 中使用。

$ brew install ripsecrets

预构建

您可以从 发行版页面 下载最新版本的预构建二进制文件。

Cargo

如果您已安装 Rust 和 Cargo，您可以运行：

$ cargo install --git https://github.com/sirwart/ripsecrets --branch main

Nix Flake

假设您已启用 Nix 配置中的 Flakes，您可以通过运行以下命令来构建 ripsecrets 二进制文件并将其添加到默认 Nix 配置文件中：

$ nix profile install github:sirwart/ripsecrets

使用 pre-commit

将以下内容添加到您的 .pre-commit-config.yaml 文件中，以便 ripsecrets 作为 pre-commit 框架 的钩子工作：

repos:
-   repo: https://github.com/sirwart/ripsecrets
    rev: v0.1.8  # Use latest tag on GitHub
    hooks:
    -   id: ripsecrets
        # uncomment to check additional patterns 
        # args:
        # - --additional-pattern 'mytoken*'
        # - --additional-pattern 'mykey*'

有两个可用的钩子：

• ripsecrets（推荐）

  pre-commit 将从头开始设置 Rust 环境，以编译和运行 ripsecrets。有关更多信息，请参阅 pre-commit rust 插件文档。

• ripsecrets-system

  pre-commit 将在您的 PATH 中查找 ripsecrets。此钩子要求您单独安装 ripsecrets，例如使用包管理器或 预构建的二进制发行版。只有当您愿意让所有仓库用户手动安装 ripsecrets 时才推荐使用此钩子。

忽略秘密

ripsecrets 默认会尊重您的 .gitignore 文件，但您可能仍希望排除某些文件不被扫描秘密。为此，您可以创建一个 .secretsignore 文件，它支持与 .gitignore 文件类似的语法来忽略文件。除了排除文件外，它还支持一个 [secrets] 部分，允许忽略个别秘密。

test/*
dummy

[secrets]
pAznMW3DsrnVJ5TDWwBVCA

除了 .secretsignore 文件外，ripsecrets 还兼容与 detect-secrets 风格的允许列表注释在同一行上检测到的秘密。

test_secret = "pAznMW3DsrnVJ5TDWwBVCA" # pragma: allowlist secret

查找自定义秘密

在某些情况下，您可能有 ripsecrets 无法识别的自定义秘密。要检测这些秘密，请使用 --additional-pattern 参数调用 ripsecrets。

ripsecrets --additional-pattern my-secret-\*

正则表达式中的任何匹配组在报告为秘密之前都将进行随机性测试。如果您不希望这种行为，请在正则表达式中使用非匹配组。例如，而不是使用 (foo|bar)，请使用 (?:foo|bar)。

$ cargo bench