GitLab CI/CD中配置Gitleaks仅检测当前分支密钥

要让Gitleaks只报告当前分支中新增/存在的密钥，而非包含master分支历史中的记录，你需要修改扫描命令，让它只对比当前分支与master分支的差异内容，而非扫描整个分支的完整提交历史。

修改后的.gitlab-ci.yml配置 #

stages:
  - test

secret_scan:
  stage: test
  image: 
    name: "zricethezav/gitleaks"
    entrypoint: [""]
  script:
    # 仅扫描当前分支相对于master分支的差异内容
    - gitleaks detect --source . --verbose --diff --base=master --head=$CI_COMMIT_BRANCH --report-format json --report-path gitleaks-report.json || true
  artifacts:
    paths:
      - gitleaks-report.json

关键修改说明 #

• 移除了原命令中的branch=$CI_COMMIT_BRANCH参数，该参数会扫描目标分支的所有提交历史，包括从master继承的部分。
• 添加--diff参数启用差异扫描模式，配合--base=master和--head=$CI_COMMIT_BRANCH，让Gitleaks仅对比两个分支之间的差异文件，只检查这些差异内容里的敏感密钥。
• 如果你的基准分支不是master，只需将--base=master替换为对应的分支名称即可。

这种方式会精准聚焦当前分支新增或修改的代码，不会返回master分支上已存在或已移除的密钥记录，完全符合你的需求。

内容的提问来源于stack exchange，提问作者Rohit Kesharwani