在任何地方检测和验证密钥。映射访问权限。快速撤销。

发现泄露的密钥。验证哪些仍然有效。映射影响范围。快速撤销。

Kingfisher 是一款用 Rust 构建的极速、完全免费且开源的密钥扫描器。它通过数百条内置规则检测整个技术栈中泄露的密钥，验证哪些凭据实际有效，映射每次泄露的影响范围，并在几分钟内撤销暴露的密钥——在一个 Apache-2.0 许可的版本中提供完整的防御者工作流：

检测 → 验证 → 映射 → 分类 → 撤销

• 扫描源代码、Git 历史、云存储、容器镜像、归档文件和开发者平台
• 验证哪些凭据处于活动状态
• 映射泄露密钥的身份、权限和可访问资源
• 在浏览器中对发现结果进行分类，或输出为 SARIF、JSON、TOON
• 撤销受支持的密钥

防御者工作流： 遵循端到端防御者工作流进行密钥检测、验证、通知、影响范围映射和撤销。

可选地将 Kingfisher 嵌入为 Rust 库或 Python 模块

通过 Python 模块或原生 Rust 库，将 Kingfisher 的快速密钥扫描、实时凭据验证和撤销功能 添加到您自己的应用程序中。 一切都在进程内运行，无需 CLI 子进程。

• Python： 安装 uv add kingfisher-secret-scanner 并导入 kingfisher_sdk。 请参阅 Python SDK 指南和可运行示例， 了解扫描、验证、规则检查和显式撤销。
• Rust： 使用 kingfisher-scanner。请参阅库指南和 可运行示例了解扫描和验证， 以及通过 kingfisher-scanner 进行撤销。

扫描目标

Kingfisher 可处理本地文件和目录、Git 仓库和历史记录、压缩和 办公文档归档、SQLite 数据库、Python 字节码、Docker 镜像、源代码托管 组织、云对象存储、协作工具和 API 开发平台。

有关特定目标的命令、身份验证、范围和分页行为，请使用 平台集成指南。

发现、验证和撤销——开源选项

在下面比较的流行密钥扫描工具中，只有 Kingfisher 和 Betterleaks 2.0 提供内置的凭据撤销功能。 全部开源，无需 付费版本。

内置能力	Kingfisher	Betterleaks 2.0	TruffleHog OSS	Gitleaks
(Find) 密钥发现	✅	✅	✅	✅
(Validate) 实时凭据验证	✅	✅	✅	❌
(Map) 身份和权限分析	✅	✅	✅	❌
(Revoke) 凭据撤销	✅	✅	❌	❌
许可证	Apache-2.0	MIT	AGPL-3.0	MIT

✅ 支持 · ❌ 不支持

为速度和准确性而构建

Kingfisher 的多线程 Vectorscan 引擎在已发布的基准测试套件中的每个仓库上都记录了最低的运行时间，从小型项目到 Linux 内核和 GitLab 单体仓库。 运行时间越低越好。

尽管功能广泛，Kingfisher 仍以紧凑的静态二进制文件形式发布。例如，已发布的 macOS arm64 比较测量 Kingfisher 2.1.0 为 25.3 MiB，使其易于在 CI 作业和容器镜像中分发。

请参阅二进制大小比较和 部署选项，其中包括验证结果、网络请求计数、测试环境和二进制大小比较。

为什么选择 Kingfisher

阶段	Kingfisher 提供的内容	了解更多
检测	极速的多线程 Vectorscan 正则表达式引擎将 SIMD 加速匹配与语言感知验证相结合，覆盖仓库、文件、归档、云存储、容器和开发者平台	扫描、集成、基准测试
验证	实时提供商检查，区分活动凭据和静态候选项	验证和过滤
映射	对受支持提供商的只读影响范围分析，包括高级 AWS 角色和 GCP 服务账户可达性以及有界 Google API 密钥探测	影响范围
分类	本地和托管的浏览器查看器，用于过滤、去重、优先级排序、影响范围检查和导出	查看器使用、托管指南
撤销	针对受支持凭据的保守的提供商特定遏制工作流	撤销