核心用法
ggshield-scanner 是 GitGuardian 官方 CLI 工具 ggshield 的 Moltbot 技能封装，提供五类扫描能力：
- scan-repo: 全仓库扫描（含历史提交）
- scan-file: 单文件快速检测
- scan-staged: 仅扫描 Git 暂存区变更（CI/CD 友好）
- scan-docker: 分析 Docker 镜像层中的硬编码密钥
- install-hooks: 自动配置 Git pre-commit 钩子，阻断含密钥的提交
显著优点
- 检测覆盖广：支持 500+ 种密钥类型，涵盖 AWS/GCP/Azure 凭证、Slack/Stripe API 令牌、OAuth 令牌、数据库连接串等
- 隐私保护设计：仅发送密钥哈希模式与元数据（文件路径、行号），实际密钥内容不上传
- 企业级可选：支持私有化部署（GitGuardian Enterprise），实现完全离线扫描
- 开发者体验：毫秒级暂存区扫描、JSON/YAML 输出、自动化钩子安装
潜在局限
- 强外部依赖：必须持有 GitGuardian API Key，免费账户有调用配额限制
- CLI 工具链依赖：需预装 Python 3.8+ 与 ggshield，容器环境需额外配置
- 误报需人工处理：高熵字符串检测可能标记测试密钥或占位符，需手动维护
.gitguardian/config.json忽略规则 - 历史清理非自动：发现历史泄露后，工具仅提示风险，不提供自动重写 Git 历史功能（需配合 git-filter-repo）
适合人群
- 个人开发者：预防意外推送密钥至公开仓库
- DevSecOps 团队：CI/CD 流水线强制卡点
- 企业安全部门：标准化密钥泄露检测流程
- 开源维护者：审计贡献者代码中的敏感信息
常规风险
- API Key 泄露风险：
GITGUARDIAN_API_KEY若被窃取，攻击者可滥用配额或访问扫描元数据 - 扫描延迟：大型 monorepo 全量扫描可能耗时数分钟
- 钩子绕过：pre-commit 钩子可通过
--no-verify跳过，需配合服务端扫描形成纵深防御