SecretScrub

SecretScrub 将清除你所有肮脏的硬编码秘密。该脚本处理采用 SARIF 文件格式的文件，SARIF 由各种静态分析工具生成。该工具扫描文件系统中的目录，将所有在 SARIF 文件中检测到的秘密实例在目录的新副本中进行脱敏。由于秘密通常存在于 Git 历史记录中，因此生成副本时会省略 .git 目录。

尽管 SARIF 是行业标准格式，但各种工具生成的 SARIF 输出仍存在差异。因此，目前仅支持以下工具。

由于 SARIF 输出的差异，未来版本工具生成的输出可能无法正常工作。

依赖项

依赖项列在 requirements.txt 文件中。简而言之，需要以下软件包：

用法

命令行用法

使用先前生成的工具输出

$ python secretscrub.py --input <path> --srcdir <path> --outdir <path> [--report <path>]

调用工具

$ python secretscrub.py --analyse-with <analysis-tool-list> --srcdir <path> --outdir <path> [--report <path>]

注意：为了正常工作，当前系统上必须存在并安装这些工具：

Docker 容器

从该源码树构建的 Docker 镜像包含 SecretScrub 工具以及 Trivy、GitLeaks、ccs 和 cq 工具的副本。

如果使用 secretscrub:latest 标签构建，以下命令将启动一次完整的分析和脱敏操作，并生成相应的报告。

sudo docker run -it -v <source-path>:/src:ro -v <output-path>:/out secretscrub:latest --analyse-with trivy,gitleaks,bindetect

请注意，这需要在容器内映射两个卷。第一个 -- <source-path> -- 应包含原始的、未脱敏的源代码。第二个 -- <output-path> -- 将接收脱敏后的输出和报告。

建议的工作流程

以下示例假设源代码存储在名为 src 的子目录中，且 SecretScrub 安装在名为 tools 的子目录中。

使用命令行

$ python tools/secretscrub.py --analse-with trivy,gitleaks,bindetect --srcdir src --outdir src-redacted

使用 Docker 容器

sudo docker run -it -v <source-path>:/src:ro -v <output-path>:/out secretscrub:latest --analyse-with trivy,gitleaks,bindetect