如何彻底清除误提交至GitHub的android.keystore且不留痕迹

普通的删除文件后提交、git revert回滚操作都无法彻底移除敏感文件——这类操作只会在最新提交快照里删掉文件，文件完整内容依然保存在Git提交历史中，任何人都可以通过历史记录找回keystore，完全达不到清除敏感痕迹的要求，按以下步骤操作即可完全清除残留：
最高优先级提醒：只要敏感凭据被推送到公开远程仓库，就默认已经存在泄露风险，不要等做完Git操作再处理凭据。第一时间作废旧的android.keystore，生成全新的签名文件，同步更新所有应用发布渠道、CI/CD流程里的签名配置，避免被恶意用于签名仿冒应用。

前置准备 #

• 备份本地整个仓库文件夹，避免历史重写操作失误导致代码丢失
• 同步本地仓库状态到和远程GitHub仓库一致，提前通知所有仓库协作者暂停推送代码，等操作完成后重新拉取仓库副本

正式清理操作（Git官方推荐方案，无残留） #

Git官方已经将旧的git filter-branch工具标记为废弃，推荐使用git filter-repo做历史重写清理，效率和稳定性更高：

1. 安装git-filter-repo工具，Mac系统可执行brew install git-filter-repo，Debian/Ubuntu系执行apt install git-filter-repo，Windows系统可通过scoop安装，或者将工具脚本放到Git可执行路径下即可
2. 进入本地仓库根目录，执行命令将android.keystore从所有分支、所有标签、所有提交历史中彻底移除，如果你的keystore文件存放在子目录，替换为文件的相对路径即可：

   git filter-repo --path android.keystore --invert-paths
   

3. 命令执行完成后，工具会自动重写所有关联提交的哈希值，keystore文件会从所有历史节点中被完全抹除，之后执行强制推送覆盖远程仓库的所有历史和标签：

   git push origin --all --force
   git push origin --tags --force
   

收尾校验 #

1. 清理本地仓库的残留引用和缓存，彻底删除本地留存的keystore文件副本：

   rm -rf .git/refs/original/
   git reflog expire --expire=now --all
   git gc --prune=now --aggressive
   

2. 检查GitHub仓库的提交历史，确认所有分支、标签下都无法找到android.keystore文件的相关记录
3. 将keystore类文件加入.gitignore规则，提交规则到仓库，避免后续再次误提交：

   # 签名敏感文件忽略规则
   *.keystore
   *.jks
   keystore.properties
   

特殊场景简化方案：如果你刚提交完keystore还没超过几分钟，确定没有任何协作者拉取过包含keystore的提交、也没有基于该错误提交生成后续提交，可以直接用交互式变基处理：执行git rebase -i HEAD~N（N为你需要回溯的提交数量，比如错误提交在最近2次提交就填2），找到包含keystore的提交将前缀改为edit，变基到该提交时执行git rm --cached android.keystore，再执行git commit --amend重写提交，最后强制推送即可。但只要错误提交已经存在一段时间、或者有后续关联提交，一律使用filter-repo方案避免遗漏。

内容的提问来源于stack exchange，提问作者chrisChris