这是什么
一个免费的文本模式扫描器。它认识 AWS、GitHub、GitLab、OpenAI、Anthropic、Stripe、Slack、Google、SendGrid、npm、PyPI、Twilio、Discord 和 Telegram 的密钥格式，也能识别私钥、数据库地址、JWT 和密码赋值。
数据从不离开浏览器的密钥扫描器
在别人看到之前，先检查粘贴内容里有没有泄露的密钥。
粘贴日志、env 文件或 git diff。Secret Scan Lite 会找出 API 密钥、令牌、私钥和密码，把它们打码，告诉你每一项有多严重、需要轮换什么，并给你一份可以放心分享的干净副本。
适合谁用
提交 pull request 前的开发者、经常收到日志转储的支持团队、正准备把报错贴进群聊的创始人，以及审查 diff 的人。
解决什么问题
密钥总会不小心混进日志、截图和提交记录。一旦分享出去，就会被到处复制。趁消息还能删除时做一次本地快速检查，就能拦下最明显的泄露。
扫描文本
扫描在当前标签页中进行。不会上传、记录或保存任何内容。
加载示例文件
日志、.env 文件、配置、JSON 或 git diff 都可以。多行私钥也没问题。还没有扫描
粘贴一些内容，或加载一个示例文件查看完整报告。
即使是打码后的报告，也会透露你使用了哪些服务。只分享给需要的人。
能发现什么
二十四种密钥，按攻击者能用它们做什么来排序。
严重
可以直接接触资金、基础设施或数据。
- 私钥块
- AWS 访问密钥 ID
- AWS 秘密访问密钥
- GitHub 令牌
- GitLab 个人访问令牌
- Anthropic API 密钥
- OpenAI API 密钥
- Stripe 秘密密钥
- 带密码的数据库地址
- 钱包或签名私钥
- 助记词
高
可以冒用你的身份发消息、发送或读取内容。
- Slack 令牌
- Slack Webhook 地址
- Google API 密钥
- SendGrid API 密钥
- npm 访问令牌
- PyPI API 令牌
- Twilio API 密钥
- Discord Webhook 地址
- Telegram 机器人令牌
- 包含密码的网址
- Authorization 请求头
- JSON Web Token
中
敏感，而且经常被重复使用。
- 密码或秘密赋值
低
占位符和示例。值得看一眼，但很少是真正的泄露。
使用方法
分享前先粘贴
日志、env 文件、堆栈跟踪或 diff 都可以。先用示例文件看看所有类型的发现项。
查看结论
出现严重或高风险发现项，就不要分享。占位符会单独列出，不会淹没真正的问题。
轮换泄露的密钥
每个发现项都写明了去哪里撤销。diff 中被删除的行仍然留在 git 历史里，也要轮换。
分享打码副本
把打码文本复制到工单或聊天里，带指纹的报告留给安全团队。
注意事项
- 它匹配的是已知格式。没有前缀、也没有标注的自定义令牌不会被发现。
- 它无法判断密钥是否仍然有效。在轮换之前，请把每个看起来真实的密钥都当作有效。
- 在新提交中删除某一行，并不会把它从 git 历史中移除。
- 指向变量的值，比如 process.env 或带美元符号的占位符，会被有意跳过。
常见问题
我的文本会被发送到别处吗？
不会。扫描只是在本页运行的普通代码。打开页面后断网，它照样能用。
为什么测试密钥不算严重？
Stripe 测试密钥无法动用资金，所以排得更低。如果它曾经公开过，仍然建议轮换。
随机度这个数字是什么？
它估算一个值有多随机。真实密钥通常高于 4，单词和占位符会更低。
能扫描整个代码仓库吗？
这个工具是为粘贴内容设计的。要扫描完整历史，请在 CI 流水线中使用专门的扫描器。