GitHub Secret Scanning功能异常：Push Protection未拦截硬编码密钥

GitHub Secret Scanning Push Protection失效的常见原因 #

• 密钥不在官方检测库：Push Protection仅识别主流服务商的密钥格式（如AWS、GitHub Token、Stripe等），自定义或小众服务的密钥大概率无法被检测到
• 仓库配置未到位：需确认仓库的Secret Scanning设置中，Push Protection已开启且覆盖了你要推送的目标分支
• 密钥被混淆处理：若密钥通过拆分字符串、添加注释、转码存储等方式变形，可能绕过检测规则

Pre-commit Hooks确实是更可靠的拦截方案 #

本地pre-commit hooks能在代码提交前就完成检测拦截，无需等推送至远程才发现问题，还支持自定义规则适配各类场景。推荐用成熟工具快速实现：

1. 安装pre-commit

   pip install pre-commit
   

2. 编写配置文件
   在仓库根目录创建.pre-commit-config.yaml，以Yelp的detect-secrets工具为例（支持多类型密钥检测）：

   repos:
     - repo: https://github.com/Yelp/detect-secrets
       rev: v1.4.0
       hooks:
         - id: detect-secrets
           args: ['--baseline', '.secrets.baseline']
           exclude: package.lock.json  # 按需跳过不需要检测的文件
   

3. 初始化钩子

   pre-commit install
   

4. 生成基线文件
   扫描现有代码生成基线，允许已存在的密钥，仅拦截新提交的密钥：

   detect-secrets scan > .secrets.baseline
   

如果有特定格式的密钥需求，还可以给detect-secrets添加自定义正则规则，或编写简单的shell脚本作为自定义hook，完全适配你的业务场景。

最佳实践 #

建议同时启用本地pre-commit hooks和GitHub Secret Scanning Push Protection：本地拦截大部分场景，远程做二次兜底，双重保障避免硬编码密钥泄露。

内容的提问来源于stack exchange，提问作者user2297083