docker run -v `pwd`:`pwd` -w `pwd` --rm -it secretlint/secretlint secretlint "**/*"

npx @secretlint/quick-start "**/*"

docker run -v `pwd`:`pwd` -w `pwd` --rm -it secretlint/secretlint secretlint "**/*"

次に、設定ファイルを設定してください:```
npx secretlint --init

:memo: Secretlintは[globパターン](https://github.com/mrmlnc/fast-glob#basic-syntax)をサポートしており、globパターンはダブルクォートで囲む必要があります。

また、`npm install --global`を使用してSecretlintをグローバルにインストールすることも可能です。ただし、一部のルールがグローバルで壊れる可能性があるため、推奨しません。

### 単一実行可能バイナリの使用

**前提条件:** なし

単一実行可能バイナリを使用することで、Node.jsなしで`secretlint`コマンドを使用できます。

1. [Releasesページ](https://github.com/secretlint/secretlint/releases)から最新のバイナリをダウンロードします。
2. ファイルのパーミッションを実行可能に変更します: `chmod +x ./secretlint`
3. `./secretlint --init`を実行して設定ファイルを作成します。
4. `./secretlint "**/*"`を実行してプロジェクトをリントします。

詳細については、[publish/binary-compiler](https://github.com/secretlint/secretlint/blob/HEAD/publish/binary-compiler)のREADMEを参照してください。

## 使用法

`secretlint --help`で使用法が表示されます。

    Secretlint CLI that scan secret/credential data.
    
    Usage
    $ secretlint [file|glob*]
    
    Note
    supported glob syntax is based on picomatch (the engine used by micromatch)
    https://github.com/micromatch/picomatch#globbing-features
    https://github.com/micromatch/micromatch#matching-features
    
    Options
    --init             setup config file. Create .secretlintrc.json file from your package.json
    --format           [String] formatter name. Default: "stylish". Available Formatter: checkstyle, compact, github, jslint-xml, junit, pretty-error, stylish, tap, unix, json, mask-result, table
    --output           [path:String] output file path that is written of reported result.
    --secretlintrc     [path:String] path to .secretlintrc config file. Default: .secretlintrc.*
    --secretlintignore [path:String] path to .secretlintignore file. Default: .secretlintignore
    --stdinFileName    [String] filename to process STDIN content. Some rules depend on filename to check content.
    --no-color         disable ANSI-color of output.
    --no-terminalLink  disable terminalLink of output.
    --no-maskSecrets   disable masking of secret values; secrets are masked by default.
    --no-glob          disable glob pattern interpretation; treat all inputs as literal file paths.
    --no-gitignore     disable .gitignore cascade respect; .gitignore files are
                       respected by default (since v13).
    
    Options for Developer
    --profile          Enable performance profile.
    --secretlintrcJSON [String] a JSON string of .secretlintrc. use JSON string instead of rc file.
    
    Experimental Options
    --locale            [String] locale tag for translating message. Default: en
    
    Examples
    # Scan a single file
    $ secretlint ./README.md

    # Scan all files (wrap glob in double quotes to avoid shell expansion)
    $ secretlint "**/*"
    $ secretlint "source/**/*.ini"

    # Treat inputs as literal paths (for SvelteKit (group) / Next.js [param] etc.)
    $ secretlint --no-glob "src/(auth)/login.ts"

    # Lint STDIN content (filename hint affects which rules apply)
    $ echo "SECRET" | secretlint --stdinFileName=secret.txt

    # Use a custom config file
    $ secretlint "**/*" --secretlintrc=.secretlintrc.custom.json

    # Scan files ignored by .gitignore (e.g. to verify build artifacts)
    $ secretlint --no-gitignore "dist/**/*"

    # Mask secrets in a file in-place
    $ secretlint .zsh_history --format=mask-result --output=.zsh_history

    # Output JSON for programmatic parsing
    $ secretlint "**/*" --format=json --output=secretlint-report.json

    # Output GitHub Actions annotations in CI
    $ secretlint "**/*" --format=github
    
    Exit Status
    Secretlint exits with the following values:
    
        - 0:
          - Linting succeeded, no errors found.
          - Found lint error but --output is specified.
        - 1:
          - Linting failed, errors found.
        - 2:
          - Unexpected error occurred, fatal error.


## 設定

Secretlintには設定ファイル`.secretlintrc.{json,yml,js}`があります。

- ドキュメント: [Configuring Secretlint](https://github.com/secretlint/secretlint/blob/HEAD/docs/configuration.md)

`secretlint --init`を実行すると、ディレクトリに`.secretlintrc.json`ファイルが作成されます。

その中には、次のようにいくつかのルールが設定されています:```json
{
  "rules": [
    {
      "id": "@secretlint/secretlint-rule-preset-recommend"
    }
  ]
}

`@secretlint/secretlint-rule-preset-recommend` のようなプリセットを使用する場合、オプションは `rules` に指定する必要があります。

例えば、`@secretlint/secretlint-rule-preset-recommend > @secretlint/secretlint-rule-aws` のオプションです。```json5
{
  "rules": [
    {
      "id": "@secretlint/secretlint-rule-preset-recommend",
      "rules": [
        {
          "id": "@secretlint/secretlint-rule-aws",
            "options": {
              "allows": [
	            // it will be ignored
                "xxxx-xxxx-xxxx-xxxx-xxxx"
              ]
            }
        }
      ]
    }
  ]
}

このエラーのメッセージIDは、`@secretlint/secretlint-rule-example`内の`EXAMPLE_MESSAGE`です。

このエラーを無視したい場合は、`allowMessageIds`を使用してください。```json
{
  "rules": [
    {
      "id": "@secretlint/secretlint-rule-example",
      "allowMessageIds": ["EXAMPLE_MESSAGE"]
    }
  ]
}

### `.gitignore` と `.secretlintignore` によるファイルの無視

Secretlintは、Gitと同様にファイルシステムを走査し、ネストされた `.gitignore` ファイルを尊重します。ワーキングディレクトリからファイルまでのパス上にある `.gitignore` にマッチするファイルまたはディレクトリはスキップされます。

`.secretlintignore` は `.gitignore` と同じように機能し、追加で参照されます。解決順序は以下の通りです：

1. 組み込みの無視: `.git`、`node_modules`、および `.secretlintrc*` ファミリー。
2. `--secretlintignore` で指定されたファイル（デフォルト: `.secretlintignore`）。
3. 各ディレクトリの `.gitignore`（カスケードされます）。

gitignoreされているファイル（たとえば、`.env` がgitignoreされているプロジェクト内の `.env` ファイル）をスキャンするには、`--no-gitignore` を指定します：```
secretlint --no-gitignore "**/*"

詳細については、[Configuring Secretlint](https://github.com/secretlint/secretlint/blob/HEAD/docs/configuration.md)を参照してください。

## ユースケース

### lintエラーメッセージ内のシークレットをマスクする（デフォルト動作）

Secretlintはデフォルトでlintエラーメッセージ内のシークレットをマスクします。これにより、CIログ、ターミナル出力、またはAIエージェントツール使用時の偶発的なシークレット露出を防ぐのに役立ちます。```bash
# Secrets are masked by default
$ secretlint "**/*"

### シークレットの修正

Secretlintはシークレットを自動的に修正することはできません。
しかし、`--format=mask-result` を使用して入力ファイルのシークレットをマスクすると便利です。

例えば、`.zsh_history` ファイルのシークレットをマスクして上書きすることができます。```bash
$ secretlint .zsh_history --format=mask-result --output=.zsh_history

`.husky/pre-commit` にフックを追加する:```
npx husky add .husky/pre-commit "npx --no-install lint-staged"

> **注:** `--no-glob` フラグが必要なのは、lint-staged がグロブ特殊文字を含む可能性のあるリテラルなファイルパスを渡すためです（例: Next.js、SvelteKit などで使用される `(group)` や `[param]` ルーティングパターン）。

つまり、コミット前に Secretlint によって各ステージングされたファイルをチェックすることを意味します。

#### [pre-commit](https://github.com/pre-commit/pre-commit)

**ユースケース:** Docker で開発しているプロジェクトがある場合。secretlint に簡単に統合できます。

インストール [pre-commit](https://pre-commit.com/#install)

    # macOS. see also https://pre-commit.com/#install
    brew install pre-commit

`.pre-commit-config.yaml` を作成:```
-   repo: local
    hooks:
    -   id: secretlint
        name: secretlint
        language: docker_image
        entry: secretlint/secretlint:latest secretlint

### Pre-commit Hook globally

**ユースケース:** secretlintを使って任意のプロジェクトをチェックしたい場合、グローバルなgitフックを使用できます。

[Git 2.9+](https://github.blog/2016-06-13-git-2-9-has-been-released/)は[`core.hooksPath`](https://git-scm.com/docs/githooks)をサポートしています。
これにより、secretlintをグローバルに統合できます。

secretlint + Dockerを使用したgitフックのサンプルプロジェクトを作成しました。

- [secretlint/git-hooks](https://github.com/secretlint/git-hooks)
    - 要件: Docker

以下の手順でセットアップできます:```shell script
# clone this repository
git clone https://github.com/secretlint/git-hooks git-hooks
cd git-hooks
# integrate secretlint to git hook globally
git config --global core.hooksPath $(pwd)/hooks

##### `--format github` プルリクエストのアノテーション用

`--format github` を使用すると、プルリクエストのファイルにリントエラーをアノテーションとして表示できます。
このフォーマッタは、プルリクエスト内の変更ファイルにエラーアノテーションを直接表示する [GitHub Actions ワークフローコマンド](https://docs.github.com/en/actions/using-workflows/workflow-commands-for-github-actions) を出力します。```yaml
      - name: Lint with Secretlint
        run: npx secretlint --format github "**/*"

#### Mega-Linter

[Mega-Linter](https://nvuillam.github.io/mega-linter/) は、任意のCIツールにネイティブ対応するリンターアグリゲーターであり、デフォルトで [**secretlint**](https://nvuillam.github.io/mega-linter/descriptors/credentials_secretlint/) を含む [80以上のリンターアプリ](https://nvuillam.github.io/mega-linter/supported-linters/) を組み込んでいます。

次のコマンドを使用して、任意のリポジトリプロジェクトに[インストール](https://nvuillam.github.io/mega-linter/installation/)できます（事前にNode.jsがインストールされている必要があります）```shell
npx mega-linter-runner --install

## セマンティックバージョニングポリシー

Secretlintプロジェクトは[セマンティックバージョニング](https://semver.org/ "セマンティックバージョニング")に従います（[secretlint-rule-preset-canary](https://github.com/secretlint/secretlint/blob/HEAD/packages/@secretlint/secretlint-rule-preset-canary)は例外です）。

- パッチリリース（lintビルドを壊さないことが意図されています）
    - CLIまたはコア（フォーマッターを含む）のバグ修正。
    - ドキュメントの改善。
    - リファクタリングなどのユーザーから見えない変更。
    - 失敗したリリースの再リリース（つまり、誰にも機能しないリリースを公開すること）。
- マイナーリリース（lintビルドが壊れる可能性あり）
    - 新しいオプション。
    - 既存のルールの非推奨化。
    - 新しいCLI機能の追加。
    - 新しい公開APIの追加（新しいクラス、新しいメソッド、既存のメソッドへの新しい引数など）。
        - TypeScriptの定義が壊れる可能性があります。
    - 新しいフォーマッターの作成。
- メジャーリリース（lintビルドが壊れます）
    - 既存のルールへの新しいオプションで、Secretlintがデフォルトでより多くのエラーを報告するようになる。
    - 既存のフォーマッターの削除。
    - ルールプリセットに新しいデフォルトルールを追加。
    - 公開APIの一部が互換性のない方法で削除または変更される。

## 動機

- [git-secrets](https://github.com/awslabs/git-secrets)は便利ですが、プロジェクトごとに設定するのは困難です。
	- 主なユースケースはグローバルインストール
	- Secretlintはプロジェクトにインストールし、プロジェクトごとに設定をカスタマイズしたい。
- [repo-security-scanner](https://github.com/UKHomeOffice/repo-security-scanner)、[Gitleaks](https://github.com/zricethezav/gitleaks)、[truffleHog](https://github.com/dxa4481/truffleHog)は優れたスキャンツールです
	- Secretlintは、無視定義やカスタムルールを含む柔軟なカスタマイズを必要とします。
- [detect-secrets](https://github.com/Yelp/detect-secrets)は類似ツールですが、オプトアウトアプローチを採用しています。
    - Secretlintはオプトインアプローチを採用
    - また、ユーザーによるカスタムルールも必要です
		- 参照： [Bring-your own-plugins (BYOP), via --custom-plugins option by KevinHock · Pull Request #255 · Yelp/detect-secrets](https://github.com/Yelp/detect-secrets/pull/255)
- GitHubは[シークレットスキャン](https://docs.github.com/en/code-security/secret-security/about-secret-scanning)をサポートしていますが、コミット[~~push~~](https://docs.github.com/en/code-security/secret-scanning/push-protection-for-users)後にのみ機能します
    - Secretlintはローカルマシンで動作し、コミットを防ぐことができます。

## 哲学

- lintの偽陽性を減らす
- 開発ワークフローへの統合
- ユーザーが貢献できるようにする

### オプトインではなくオプトイン

Secretlintはオプトインアプローチを採用しています。

私たちの経験では、デフォルトでさまざまなエラーを報告するlintツールは使いにくいです。
オプトインアプローチは、Secretlintを段階的に導入するのに役立ちます。

設定により偽陽性を減らすのに役立ちます。

### ルールとしてのドキュメント

ルールはドキュメントであると考えています。
したがって、各ルールには妥当なドキュメントが必要です。

なぜこのファイルがエラーなのかを説明する必要があります。
ドキュメントのないルールは単なる独断に過ぎません。

エラーの理由を説明することで、偽陽性エラーを減らすことにつながります。

また、Secretlint CLIはターミナルでハイパーリンクをサポートしています。
つまり、lintエラーメッセージからルールのドキュメントに直接ジャンプできます。

![clickable link in output](https://assets.kitploit.com/production/public/readmes/6649/890de2bdbaaae05b3b40c5bbe32b8389a7672beb231308453e585e308afca2be.png)

> iTerm 2の例：エラーのmessageIdをCmd + Clickで、[AWSSecretAccessKey](https://github.com/secretlint/secretlint/blob/master/packages/%40secretlint/secretlint-rule-aws/README.md#awssecretaccesskey)をブラウザで開きます。

対応ターミナルを知りたい場合は、[ターミナルエミュレータのハイパーリンク](https://gist.github.com/egmontkob/eb114294efbcd5adb1944c9f3cb5feda)を参照してください。

また、secretlintのドキュメントへの貢献を歓迎します！

### なぜNode.jsか？

- パッケージマネージャ
	- 柔軟なプラグイン可能システムを実現するためにパッケージマネージャが必要
	- Node.jsはパッケージマネージャとしてnpmとpnpmを持っている
	- パッケージマネージャはユーザーがカスタムプラグイン/ルールをインストールするのに役立つ
- 既存の実装例
	- Node.jsにはすでにESLint、textlint、stylelintなどのプラグイン可能なlintツールがある
	- そのため、Node.jsユーザーはプラグイン可能なlintツールに慣れている
	- 以前、同じアプローチでtextlintを作成したので、Node.jsに精通している
- ユーザー
    - JavaScriptは人気のある言語
    - ユーザーが貢献できるようにする
    - ユーザーは自分の手で独自のルールを作成できる

もちろん、secretlintは[Docker](https://hub.docker.com/r/secretlint/secretlint)もサポートしています。

## 変更履歴

[リリースページ](https://github.com/secretlint/secretlint/releases)を参照してください。

## 貢献

プルリクエストとスターはいつでも歓迎します。

バグや機能リクエストは、[こちらから issue を作成してください](https://github.com/secretlint/secretlint/issues)。

併せて、[CONTRIBUTING.md](https://github.com/secretlint/secretlint/blob/HEAD/CONTRIBUTING.md) と [CODE_OF_CONDUCT.md](https://github.com/secretlint/secretlint/blob/HEAD/CODE_OF_CONDUCT.md) も参照してください。

### 新しいルールの追加

新しいルールを作成するには、`pnpm run gen:rule` コマンドを使用できます。```shell script
pnpm run gen:rule