detect-secrets — Eine unternehmensfreundliche Methode zur Erkennung und Verhinderung von Geheimnissen im Code. | Kitploit

### Hinzufügen neuer Geheimnisse zur Baseline:

Dies wird Ihre Codebasis erneut scannen und:

1. Aktualisieren/Upgraden Sie Ihre Baseline, um mit der neuesten Version kompatibel zu sein,
2. Fügen Sie alle neuen Geheimnisse, die es findet, zu Ihrer Baseline hinzu,
3. Entfernen Sie alle Geheimnisse, die nicht mehr in Ihrer Codebasis vorhanden sind

Dies wird auch alle von Ihnen markierten Geheimnisse bewahren.```bash
$ detect-secrets scan --baseline .secrets.baseline

### Überprüfung einer Baseline:

Dies ist ein optionaler Schritt, um die Ergebnisse in Ihrer Baseline zu kennzeichnen. Es kann verwendet werden, um Ihre Liste der zu migrierenden Geheimnisse einzugrenzen oder Ihre Plugins besser zu konfigurieren, um das Signal-Rausch-Verhältnis zu verbessern.```bash
$ detect-secrets audit .secrets.baseline

**Erweiterte Konfiguration:**```python
from detect_secrets import SecretsCollection
from detect_secrets.settings import transient_settings

secrets = SecretsCollection()
with transient_settings({
    # Only run scans with only these plugins.
    # This format is the same as the one that is saved in the generated baseline.
    'plugins_used': [
        # Example of configuring a built-in plugin
        {
            'name': 'Base64HighEntropyString',
            'limit': 5.0,
        },

        # Example of using a custom plugin
        {
            'name': 'HippoDetector',
            'path': 'file:///Users/aaronloo/Documents/github/detect-secrets/testing/plugins.py',
        },
    ],

    # We can also specify whichever additional filters we want.
    # This is an example of using the function `is_identified_by_ML_model` within the
    # local file `./private-filters/example.py`.
    'filters_used': [
        {
            'path': 'file://private-filters/example.py::is_identified_by_ML_model',
        },
    ]
}) as settings:
    # If we want to make any further adjustments to the created settings object (e.g.
    # disabling default filters), we can do so as such.
    settings.disable_filters(
        'detect_secrets.filters.heuristic.is_prefixed_with_dollar_sign',
        'detect_secrets.filters.heuristic.is_likely_id_string',
    )

    secrets.scan_file('test_data/config.ini')

### Blockieren von Geheimnissen außerhalb der Baseline```
$ detect-secrets-hook --help
usage: detect-secrets-hook [-h] [-v] [--version] [--baseline FILENAME]
                           [--list-all-plugins] [-p PLUGIN]
                           [--base64-limit [BASE64_LIMIT]]
                           [--hex-limit [HEX_LIMIT]]
                           [--disable-plugin DISABLE_PLUGIN]
                           [-n | --only-verified]
                           [--exclude-lines EXCLUDE_LINES]
                           [--exclude-files EXCLUDE_FILES]
                           [--exclude-secrets EXCLUDE_SECRETS]
                           [--word-list WORD_LIST_FILE] [-f FILTER]
                           [--disable-filter DISABLE_FILTER]
                           [filenames [filenames ...]]

positional arguments:
  filenames             Filenames to check.

optional arguments:
  -h, --help            show this help message and exit
  -v, --verbose         Verbose mode.
  --version             Display version information.
  --json                Print detect-secrets-hook output as JSON
  --baseline FILENAME   Explicitly ignore secrets through a baseline generated
                        by `detect-secrets scan`

plugin options:
  Configure settings for each secret scanning ruleset. By default, all
  plugins are enabled unless explicitly disabled.

  --list-all-plugins    Lists all plugins that will be used for the scan.
  -p PLUGIN, --plugin PLUGIN
                        Specify path to custom secret detector plugin.
  --base64-limit [BASE64_LIMIT]
                        Sets the entropy limit for high entropy strings. Value
                        must be between 0.0 and 8.0, defaults to 4.5.
  --hex-limit [HEX_LIMIT]
                        Sets the entropy limit for high entropy strings. Value
                        must be between 0.0 and 8.0, defaults to 3.0.
  --disable-plugin DISABLE_PLUGIN
                        Plugin class names to disable. e.g.
                        Base64HighEntropyString

filter options:
  Configure settings for filtering out secrets after they are flagged by the
  engine.

  -n, --no-verify       Disables additional verification of secrets via
                        network call.
  --only-verified       Only flags secrets that can be verified.
  --exclude-lines EXCLUDE_LINES
                        If lines match this regex, it will be ignored.
  --exclude-files EXCLUDE_FILES
                        If filenames match this regex, it will be ignored.
  --exclude-secrets EXCLUDE_SECRETS
                        If secrets match this regex, it will be ignored.
  -f FILTER, --filter FILTER
                        Specify path to custom filter. May be a python module
                        path (e.g.
                        detect_secrets.filters.common.is_invalid_file) or a
                        local file path (e.g.
                        file://path/to/file.py::function_name).
  --disable-filter DISABLE_FILTER
                        Specify filter to disable. e.g.
                        detect_secrets.filters.common.is_invalid_file

#### Inline-Zulassungsliste

Es gibt Zeiten, in denen wir ein falsches Positiv vom Blockieren eines Commits ausschließen möchten, ohne dafür eine Baseline zu erstellen. Sie können dies tun, indem Sie einen Kommentar wie folgt hinzufügen:```python
secret = "hunter2"      # pragma: allowlist secret

### Auditieren von Geheimnissen in Baseline```bash
$ detect-secrets audit --help
usage: detect-secrets audit [-h] [--diff] [--stats]
                      [--report] [--only-real | --only-false]
                      [--json]
                      filename [filename ...]

Auditing a baseline allows analysts to label results, and optimize plugins for
the highest signal-to-noise ratio for their environment.

positional arguments:
  filename      Audit a given baseline file to distinguish the difference
                between false and true positives.

optional arguments:
  -h, --help    show this help message and exit
  --diff        Allows the comparison of two baseline files, in order to
                effectively distinguish the difference between various plugin
                configurations.
  --stats       Displays the results of an interactive auditing session which
                have been saved to a baseline file.
  --report      Displays a report with the secrets detected

reporting:
  Display a summary with all the findings and the made decisions. To be used with the report mode (--report).

  --only-real   Only includes real secrets in the report
  --only-false  Only includes false positives in the report

analytics:
  Quantify the success of your plugins based on the labelled results in your
  baseline. To be used with the statistics mode (--stats).

  --json        Outputs results in a machine-readable format.

Dies kann eine bequeme Möglichkeit sein, Geheimnisse zu ignorieren, ohne die gesamte Basislinie erneut generieren zu müssen. Wenn Sie diese auf die Whitelist gesetzten Geheimnisse explizit suchen müssen, können Sie auch Folgendes tun:```bash
$ detect-secrets scan --only-allowlisted

Dann können Sie es wie folgt verwenden:```bash
$ cat wordlist.txt
not-a-real-secret
$ cat sample.ini
password = not-a-real-secret

# Will show results
$ detect-secrets scan sample.ini

# No results found
$ detect-secrets scan --word-list wordlist.txt

Dies ist kein Standard-Plugin, da es Geheimnisse wie `password` ignoriert.

## Einschränkungen

Dies ist nicht als absolute Lösung gedacht, um zu verhindern, dass Geheimnisse in die Codebasis gelangen. Nur eine angemessene Schulung der Entwickler kann das wirklich erreichen. Dieser Pre-Commit-Hook implementiert lediglich mehrere Heuristiken, um offensichtliche Fälle des Commitens von Geheimnissen zu verhindern.

**Dinge, die nicht verhindert werden:**

- Mehrzeilige Geheimnisse
- Standard-Passwörter, die den `KeywordDetector` nicht auslösen (z.B. `login = "hunter2"`)

## FAQ

### Allgemein

- **Warnung "Git-Repository nicht erkannt." wird angezeigt, obwohl ich mich in einem Git-Repo befinde.**

  Überprüfen Sie, ob Ihre `git`-Version >= 1.8.5 ist. Wenn nicht, führen Sie bitte ein Upgrade durch und versuchen Sie es erneut.
  [Weitere Details hier](https://github.com/Yelp/detect-secrets/issues/220).

### Windows

- **`detect-secrets audit` zeigt nach dem Erstellen einer Baseline "Not a valid baseline file!" an.**

  Stellen Sie sicher, dass die Dateikodierung Ihrer Baseline-Datei UTF-8 ist.
  [Weitere Details hier](https://github.com/Yelp/detect-secrets/issues/272#issuecomment-619187136).

detect-secrets

Beliebteste

Beispiele

Schnellstart:

Warnung vor neu hinzugefügten Geheimnissen:

Alle aktivierten Plugins anzeigen:```bash

Verwendung in anderen Python-Skripten

Installation```bash

Verwendung

Hinzufügen von Geheimnissen zur Baseline```

.pre-commit-config.yaml

Konfiguration

Plugins

Filter

--exclude-lines

--exclude-files

--exclude-secrets

Inline Allowlisting

pragma: allowlist nextline secret

Erweiterungen

wordlist

Gibberish Detector