TruffleHog未检测到硬编码密码与密钥问题排查求助

核心问题：--only-verified参数的过滤逻辑 #

你添加的--only-verified参数是关键问题：

• 这个参数会强制TruffleHog只输出能通过官方服务有效性验证的密钥/令牌，比如AWS Access Key、GitHub Token这类可以直接调用对应平台API验证合法性的凭据。
• 你的硬编码内容是自定义的用户名、密码和令牌（如PASSWORD="password"、HTTP_TOKEN="DRFuteQw$#riYhte69AwerDdf-$"），这类自定义凭据没有对应的官方服务可以验证有效性，所以直接被该参数过滤，不会出现在扫描结果中。

次要影响因素 #

• 像password这类简单弱密码，可能被TruffleHog的默认规则标记为低风险误报，结合--only-verified的严格过滤后，直接被排除。
• 若仓库中有.trufflehog.yml配置文件，可能存在自定义忽略规则，但从日志显示加载了737个检测器来看，这种可能性较低。

修复步骤 #

1. 移除--only-verified参数，执行基础扫描：

   ./trufflehog git git@github-company.com:org-demo/test.git
   

2. 如需针对自定义凭据做精准扫描，可以添加自定义正则规则（通过--rules参数指定规则文件），或用--include-paths限定扫描的文件范围，避免无关文件干扰。

内容的提问来源于stack exchange，提问作者user4948798