说明：文中所有 URL、Token、路径均已脱敏。请根据实际情况替换为真实环境。 所有涉及脚本，均可访问 [https://github.com/RanrayD/gitleaks]获取
在企业 GitLab 中，密钥泄露常见于以下场景：
.env, .env.production 等环境变量文件application.yml, config.json, settings.py 等包含敏感信息的配置文件settings.xml, npm .npmrc, pip pip.conf 中包含的私有仓库认证信息.pem, .key).jks, .p12, .pfx) 及其密码.git 目录) 中本次审计目标：
2025-07-01 之后有提交）在动手之前，至少确认以下条件：
read_api / read_repository，以实际 GitLab 权限模型为准）https://gitlab.example.com）与 Git 端口（HTTP/HTTPS）本文以 Windows 为例（PowerShell）。其他系统同理。
Python 3.10+（用于自动化脚本）git（用于拉取仓库）gitleaks（主扫描工具，本文使用二进制方式）建议单独准备一个工作目录，例如：
D:\sec-tools\gitleaks\gitleaks.exe、gitlab_scanner.py、输出目录 reports\1）从官方 Releases 下载对应平台的 zip（示例：gitleaks_8.x.x_windows_x64.zip）。
2）解压后将 gitleaks.exe 放入工作目录，例如：
D:\sec-tools\gitleaks\gitleaks.exe3）验证安装：
.\gitleaks.exe version
若输出版本号（如 8.30.0），即安装成功。
git clone https://gitlab.example.com/group/project.git
.\gitleaks.exe detect --source .\project --report-format json --report-path .\report.json
说明：
detect：扫描模式--source：扫描目标目录（建议指向仓库根目录，含 .git）--report-format json / --report-path：落盘报告，便于留存审计证据Gitleaks 支持通过 TOML 配置自定义规则。常见场景：
COMP-TOKEN-...）创建 gitleaks.toml（示例）：
title = "Company Custom Rules"
[[rules]]
id = "company-internal-token"
description = "Detected internal token"
regex = '''COMP-TOKEN-[A-Za-z0-9_-]{20,}'''
tags = ["internal", "critical"]
.\gitleaks.exe detect --source .\project --config .\gitleaks.toml --report-format json --report-path .\report.json
提示：
当 GitLab 项目达到上万级别时，直接全量扫描通常不现实：
实践中更推荐先做范围收敛：例如“最近半年有提交/发布活动的项目优先”。
本文采用的策略：
2025-07-01 之后的项目（可改为你需要的日期）Ctrl+C 中断，下次续跑本实践脚本位于（示例）：
D:\sec-tools\gitleaks\gitlab_scanner.py$env:GITLAB_TOKEN="***REDACTED***"
以下命令会：
per_page=100 分页组合）--cutoff-date 的项目写入汇总文件python .\gitlab_scanner.py --export-filtered-all --cutoff-date 2025-07-01
输出文件（示例）：
reports\filtered_projects_since_20250701_all.csv字段：
project_id,name,path_with_namespace,web_url,default_branch,http_url_to_repo,last_commit_time磁盘占用说明：CSV 为纯文本，体积很小；真正占空间的是仓库克隆目录，而筛选阶段不克隆仓库，因此不会产生大量磁盘占用。
$env:GITLAB_TOKEN="***REDACTED***"
python .\gitlab_scanner.py --scan-from-filtered --filtered-projects-file .\reports\filtered_projects_since_20250701_all.csv --batch-size 20 --no-prompt --progress-file .\reports\scan_progress_since_20250701_all.txt
说明：
--batch-size 20：每组 20 个项目--no-prompt：不需要每批回车确认，自动连续跑--progress-file ...：指定进度文件（非常关键）Ctrl + C--progress-file 路径，脚本会从上次进度继续--reset-progress 或删除进度文件默认输出目录（示例）：
D:\sec-tools\gitleaks\reports\报告文件命名示例：
batch_1_projectName_12345_report.json这样能避免不同项目重名导致报告覆盖。
当 Gitleaks 发现疑似泄漏时，报告里常见字段包括：
File / Line：命中位置RuleID：命中规则Secret / Match：命中内容（注意脱敏处理）建议在审计落地中建立以下处置流程：
当扫描了数千个项目后，你会得到数千个 JSON 文件。逐个查看效率极低，推荐将其聚合为一个 CSV 表格，便于在 Excel 中进行筛选、透视和分发。
我们提供了一个专用脚本 gitleaks_reports_to_csv.py 来完成此任务。
reports 目录下的所有 .json 报告File, RuleID, Author, Date, Message, Entropy, Match 等关键字段utf-8-sig 编码，解决 Excel 打开中文乱码问题python .\gitleaks_reports_to_csv.py --reports-dir .\reports --output .\reports\gitleaks_findings.csv
运行后，你将得到一个 gitleaks_findings.csv 文件。你可以直接用 Excel 打开它，对 RuleID 进行数据透视，快速识别高频误报或高危泄露。
WinError 32（文件占用）在 Windows 上，.git 目录可能被索引/杀软短暂占用，导致删除失败。
实践处理：
per_page 上限GitLab API 常见限制：
per_page 最大通常为 100因此当你希望“每批 500 个”时，需要脚本内部拉取 5 页来凑满一批。
$env:GITLAB_TOKEN="..."（或 CI 的 Secret）A. 汇总筛选（不扫描）
$env:GITLAB_TOKEN="***REDACTED***"
python .\gitlab_scanner.py --export-filtered-all --cutoff-date 2025-07-01
B. 从汇总文件开始扫描（20 个一组，自动续跑）
$env:GITLAB_TOKEN="***REDACTED***"
python .\gitlab_scanner.py --scan-from-filtered --filtered-projects-file .\reports\filtered_projects_since_20250701_all.csv --batch-size 20 --no-prompt --progress-file .\reports\scan_progress_since_20250701_all.txt
C. 中断/续跑
Ctrl + C--progress-file）D. 报告合并 (JSON -> CSV)
python .\gitleaks_reports_to_csv.py --reports-dir .\reports --output .\reports\gitleaks_findings.csv
至此，你就拥有了一个可复用的企业级 Secret 扫描工作流：先收敛范围，再批量扫描，结果可追溯，进度可续跑。如后续希望进一步降低误报（例如引入自定义规则、白名单、或二次校验），建议在现有规则基础上逐步迭代，不要一开始就写大量“纯关键字”规则。
]]>