核心功能与用法
Security Health Check 是一款定位企业级的数字安全体检工具，核心功能覆盖账户安全、密钥泄露、社会工程与合规审计四大维度。基础用法通过 python3 scripts/security_check.py --email user@example.com 执行单账户检查，支持多账户批量扫描（--accounts）、JSON/Markdown 报告导出（--report）及 cron 定时调度（--schedule daily）。企业级场景可启用完整审计模式（--audit full --compliance iso27001），生成符合 GDPR、等保 2.0、ISO 27001 标准的合规报告。
显著优点
1. 数据来源权威：集成 Have I Been Pwned（150亿+泄露记录）与 GitHub Secret Scanning 官方数据库，泄露检测可信度高。
2. 隐私保护设计：密码强度分析采用 k-匿名与本地 SHA1 计算，原始密码不离开本地设备，降低二次泄露风险。
3. 企业级扩展性：支持多账户并行检查、API Key 泄露扫描、钓鱼邮件特征识别、勒索软件 Preparedness 评估及企业微信告警集成。
4. 合规友好：内置 GDPR、等保 2.0、ISO 27001 自检清单，可直接输出审计报告。
潜在局限与风险
- API 依赖与速率限制：免费版每日仅 1 次查询，高频使用需购买付费计划（¥999-¥4,999/年）或自备 HIBP_API_KEY。
- 检测盲区：依赖公开泄露库，未收录的地下交易数据或零日泄露事件无法覆盖；钓鱼识别基于特征规则，对高级定向钓鱼（APT）检出率有限。
- 企业版成本门槛：全员社工评估、备份 API 集成等核心功能锁在 Enterprise 档（¥4,999/年），中小团队可能预算受限。
- 本地化局限：工具本身不提供漏洞修复或自动补丁能力，需人工跟进整改。
适合人群
- 企业安全/合规团队：需定期输出等保、ISO 27001 合规报告的组织。
- DevOps/研发负责人：关注 GitHub 代码仓库 API Key 泄露风险的开发团队。
- 安全意识较高的个人用户：愿为隐私付费、需要批量管理家庭/团队账户的安全爱好者。
常规风险提示
1. 扫描结果可能触发焦虑性密码修改，建议结合密码管理器（如 Bitwarden、1Password）系统性更新凭证。
2. 企业部署时需确保 cron 定时任务日志安全存储，避免扫描结果泄露反推账户资产。
3. 合规检查清单为自检性质，不等同于官方认证审计，关键场景仍需第三方渗透测试验证。