git secrets --scan [-r|--recursive] [--cached] [--no-index] [--untracked] [<files>...]
git secrets --scan-history
git secrets --install [-f|--force] [<target-directory>]
git secrets --list [--global]
git secrets --add [-a|--allowed] [-l|--literal] [--global] <pattern>
git secrets --add-provider [--global] <command> [arguments...]
git secrets --register-aws [--global]
git secrets --aws-provider [<credentials-file>]

提供されているMakefileの ``install`` ターゲットを使用して、``git secrets`` とmanページをインストールできます。PREFIX変数とMANPREFIX変数を使用して、インストールパスをカスタマイズできます。

::

    make install

Windows
~~~~~~~

提供されている ``install.ps1`` PowerShellスクリプトを実行します。これにより、必要なファイルがインストールディレクトリ（デフォルトでは ``%USERPROFILE%/.git-secrets``）にコピーされ、そのディレクトリが現在のユーザーの ``PATH`` に追加されます。

::

    PS > ./install.ps1

Homebrew（macOSユーザー向け）

brew install git-secrets

**まだ完了していません！** ``git secrets --install`` を使用する予定の**すべてのリポジトリに対してgitフックをインストールする必要があります。**

cd /path/to/my/repo
git secrets --install
git secrets --register-aws

git secrets --register-aws --global

git secrets --install ~/.git-templates/git-secrets
git config --global init.templateDir ~/.git-templates/git-secrets

git secrets --add-provider -- cat /path/to/secret/file/patterns

git secrets --scan-history

これらの各オプションは、コマンドラインの最初に指定する必要があります。

``--install``
    リポジトリにgitフックをインストールします。フックがインストールされると、そのリポジトリではコミットおよび非fast-forwardマージでシークレットがコミットされるのを防ぎます。

``--scan``
    1つ以上のファイルをシークレットについてスキャンします。ファイルにシークレットが含まれている場合、スキャン対象ファイルから一致したテキストがstdoutに書き込まれ、スクリプトは0以外のステータスで終了します。一致した各行は、一致したファイル名、コロン、一致した行番号、コロン、そして一致したテキストの行として書き込まれます。ファイルが指定されない場合、``git ls-files`` によって返されるすべてのファイルがスキャンされます。

``--scan-history``
    すべてのリビジョンを含めてリポジトリをスキャンします。ファイルにシークレットが含まれている場合、スキャン対象ファイルから一致したテキストがstdoutに書き込まれ、スクリプトは0以外のステータスで終了します。一致した各行は、一致したファイル名、コロン、一致した行番号、コロン、そして一致したテキストの行として書き込まれます。

``--list``
    現在のリポジトリまたはグローバルgit configの ``git-secrets`` 設定を一覧表示します。

``--add``
    禁止パターンまたは許可パターンを追加します。

``--add-provider``
    シークレットプロバイダーを登録します。シークレットプロバイダーは、呼び出されると ``git-secrets`` が禁止として扱うべき禁止パターンを出力する実行可能ファイルです。

``--register-aws``
    git configに一般的なAWSパターンを追加し、``~/.aws/credentials`` に存在するキーがいずれのコミットにも含まれないようにします。次のチェックが追加されます:

    - AWSアクセスキーID: ``(A3T[A-Z0-9]|AKIA|AGPA|AIDA|AROA|AIPA|ANPA|ANVA|ASIA)[A-Z0-9]{16}``
    - Amazon Bedrock APIキー。長期有効: ``ABSK[A-Za-z0-9+/]{109,}=*``、短期有効: ``bedrock-api-key-YmVkcm9jay5hbWF6b25hd3MuY29t``
    - AWSシークレットアクセスキーの割り当て: ":" または "=" で囲まれ、オプションで引用符で囲まれます
    - AWSアカウントIDの割り当て: ":" または "=" で囲まれ、オプションで引用符で囲まれます
    - サンプルAWSキー（``AKIAIOSFODNN7EXAMPLE`` および ``wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY``）の許可パターン
    - ``~/.aws/credentials`` から既知の資格情報

    .. note::

        このコマンドで登録されたパターンは、ほとんどのAWS資格情報をキャッチするはずですが、**すべて**をキャッチすることを保証するものではありません。``git-secrets`` は追加の保険手段として使用すべきであり、資格情報をリポジトリにコミットしないようにするための十分な注意を払う必要があります。

``--aws-provider``
    INIファイル内の資格情報を出力するシークレットプロバイダー。オプションでINIファイルへのパスを指定できます。


``--install`` のオプション

指定された ``<target-directory>`` がgitリポジトリ内にない場合、ディレクトリが作成され、フックは ``<target-directory>/hooks`` に配置されます。これは、``git init --template <target-directory>`` を使用してgitテンプレートディレクトリを作成するのに便利です。

既に初期化されているリポジトリで ``git init`` を実行できます。「git initドキュメント（https://git-scm.com/docs/git-init）」より:

    gitのドキュメントより: 既存のリポジトリで ``git init`` を実行しても安全です。既存のものは上書きされません。``git init`` を再実行する主な理由は、新しく追加されたテンプレートを適用するためです（または ``--separate-git-dir`` が指定された場合にリポジトリを別の場所に移動するため）。

次のgitフックがインストールされます:

1. ``pre-commit``: コミットで変更されたファイルが禁止パターンを使用していないかチェックするために使用されます。
2. ``commit-msg``: コミットメッセージに禁止パターンが含まれているかを判断するために使用されます。
3. ``prepare-commit-msg``: マージコミットが、履歴のどの時点でも禁止パターンを含む履歴を導入するかどうかを判断するために使用されます。このフックは非fast-forwardマージの場合にのみ呼び出されることに注意してください。

.. note::

    Gitでは、フックごとに1つのスクリプトのみを実行できます。リポジトリに ``pre-commit.d`` や ``commit-msg.d`` のようなDebianスタイルのサブディレクトリが存在する場合、gitフックはこれらのディレクトリにインストールされます。これは、対応するフックがこれらのディレクトリ内のすべてのスクリプトを実行するように設定されていることを前提としています。これらのgitサブディレクトリが存在しない場合、gitフックはgitリポジトリの ``.git/hooks`` ディレクトリにインストールされます。

cd /path/to/my/repository
git secrets --install

git secrets --install /path/to/my/repository

git secrets --install ~/.git-templates/git-secrets
git init --template ~/.git-templates/git-secrets

git secrets --install -f

``-r, --recursive``
    指定されたファイルを再帰的にスキャンします。ディレクトリが見つかった場合、そのディレクトリがスキャンされます。``-r`` が指定されない場合、ディレクトリは無視されます。

    ``-r`` は ``--cached``、``--no-index``、または ``--untracked`` と一緒に使用できません。

``--cached``
    インデックスファイルに登録されているblobを検索します。

``--no-index``
    gitで管理されていないカレントディレクトリ内のファイルを検索します。

``--untracked``
    ワーキングツリー内の追跡ファイルに加えて、``--scan`` は追跡されていないファイルも検索します。

``<files>...``
    シークレットをスキャンするディスク上の1つ以上のファイルへのパス。

    ファイルが指定されない場合、``git ls-files`` によって返されるすべてのファイルがスキャンされます。


例
^^^^^^^^

リポジトリ内のすべてのファイルをスキャン::

    git secrets --scan

単一のファイルをシークレットについてスキャン::

    git secrets --scan /path/to/file

ディレクトリを再帰的にシークレットについてスキャン::

    git secrets --scan -r /path/to/directory

複数のファイルをシークレットについてスキャン::

    git secrets --scan /path/to/file /path/to/other/file

globを使ってスキャンすることもできます::

    git secrets --scan /path/to/directory/*

標準入力からスキャン::

    echo 'hello!' | git secrets --scan -


``--list`` のオプション

``--global``
    グローバルgit configにパターンを追加します。

``-l, --literal``
    指定されたパターン内の正規表現特殊文字をエスケープし、パターンをリテラルとして検索します。

``-a, --allowed``
    パターンを禁止ではなく許可としてマークします。許可パターンは誤検出を除外するために使用されます。

``<pattern>``
    検索する正規表現パターン。


例
^^^^^^^^

現在のリポジトリに禁止パターンを追加::

    git secrets --add '[A-Z0-9]{20}'

グローバルgit configに禁止パターンを追加::

    git secrets --add --global '[A-Z0-9]{20}'

リテラルとしてスキャンされる文字列を追加 (``+`` はエスケープされます)::

    git secrets --add --literal 'foo+bar'

許可パターンを追加::

    git secrets --add -a 'allowed pattern'


``--register-aws`` のオプション

``[<credentials-file>]``
    指定された場合、スキャンするINIファイルのカスタムパスを指定します。指定されない場合、``~/.aws/credentials`` が使用されます。


``--add-provider`` のオプション

git secrets --add-provider -- git secrets --aws-provider

git secrets --add-provider -- cat /path/to/secret/file/patterns

git secrets --add --allowed 'my regex pattern'

禁止パターンをあまりに貪欲に追加するのが悪い習慣であるのと同様に、許可パターンをあまりに寛容に追加するのも悪い習慣です。パターンが意図したとおりに機能することを確認するために、``git secrets --scan $filename`` を使用してアドホックにテストしてください。

git secrets --add-provider -- git secrets --aws-provider

This is a test!
password=ex@mplepassword
password=******
More test...

git secrets --add 'password\s*=\s*.+'
git secrets --add --allowed --literal 'ex@mplepassword'

/tmp/example:3:password=******

[ERROR] Matched prohibited pattern

Possible mitigations:
- Mark false positives as allowed using: git config --add secrets.allowed ...
- List your configured patterns: git config --get-all secrets.patterns
- List your configured allowed patterns: git config --get-all secrets.allowed
- Use --no-verify if this is a one-time false positive

/tmp/example:2:password=ex@mplepassword
/tmp/example:3:password=******

git secrets --add --allowed '/tmp/example:.*'
git secrets --scan /tmp/example && echo $?
# Outputs: 0

git secrets --add --allowed '/tmp/example:3:.*'
git secrets --scan /tmp/example && echo $?
# Outputs: 0