gitleaks action下載 - gitleaks action源代碼下載

gitleaks action

其他類別

v2.3.7

下載

gitleaks行動


  ┌─○───┐
  │ │╲  │
  │ │ ○ │
  │ ○ ┌─┴───────────────────┐
  └─░─┤  4 github actions   │
      └─────────────────────┘

Gitleaks是用於檢測和防止GIT存儲庫中的密碼，API鍵和令牌等硬編碼秘密的SAST工具。 Gitleaks是一種易於使用的，多合一的解決方案，用於在代碼中檢測過去或現在的秘密。當秘密發生後，啟用GitHub工作流程中的gitleaks-action提醒。在此處查看我們的演示（.gif）和此處（.png），或在此處查看v2中的新事物。不要忘記查看我們的博客，其中詳細介紹瞭如何為組織和企業配置和設置gitleaks-action。

用法示例

 name : gitleaks
on :
  pull_request :
  push :
  workflow_dispatch :
  schedule :
    - cron : " 0 4 * * * " # run once a day at 4 AM
jobs :
  scan :
    name : gitleaks
    runs-on : ubuntu-latest
    steps :
      - uses : actions/checkout@v4
        with :
          fetch-depth : 0
      - uses : gitleaks/gitleaks-action@v2
        env :
          GITHUB_TOKEN : ${{ secrets.GITHUB_TOKEN }}
          GITLEAKS_LICENSE : ${{ secrets.GITLEAKS_LICENSE}} # Only required for Organizations, not personal accounts.

環境變量：

GITHUB_TOKEN ：當任何動作被啟動時，github會自動分配此變量。您可以在此處閱讀有關令牌的更多信息。 gitleaks-action使用此令牌來調用github api對PRS發表評論。
GITLEAKS_LICENSE （組織所必需的，不是用戶帳戶所需的）：可以在gitleaks.io上獲得gitleaks-action許可證。應該將其作為回購或組織的加密秘訣。
GITLEAKS_NOTIFY_USER_LIST （可選）：github帳戶列表，當gitleaks-action檢測到洩漏時，應提醒該帳戶。如果GitHub的GitHub通知設置允許，GitHub將發送電子郵件給用戶。格式應與@前綴為 @的每個用戶名進行逗號分隔。例如： @octocat,@zricethezav,@gitleaks 。空間也可以。
GITLEAKS_ENABLE_COMMENTS （可選）：打開或關閉PR評論的布爾值。默認值是true 。設置為false至禁用評論。
GITLEAKS_CONFIG （可選）：gitleaks配置文件的路徑。
GITLEAKS_ENABLE_UPLOAD_ARTIFACT （可選）：布爾值，當Gitleaks檢測到秘密時，打開或關閉上載Sarif偽像。默認為true 。
GITLEAKS_ENABLE_SUMMARY （可選）：啟用或禁用gitleaks的布爾值。默認為true 。
GITLEAKS_VERSION （可選）：要使用的特定gitleaks版本（例如8.15.3 ，無v前綴）或使用latest始終使用最新的可用版本。默認為硬編碼版本號。

問題

我需要免費的許可證密鑰嗎？

如果您是掃描屬於組織帳戶的存儲庫，則需要獲得免費的許可密鑰

如果您是掃描屬於個人帳戶的存儲庫，則無需執照密鑰。

如何獲得免費的許可證密鑰？

您可以訪問gitleaks.io以註冊免費的許可證密鑰。單擊“註冊”將帶您進入Google表格，您需要在其中提供姓名，電子郵件和公司。提交後不久，帶有許可證密鑰的電子郵件將出現。

我可以使用自定義的gitleaks配置嗎？

你可以！該GitHub動作遵循與Gitleaks CLI工具相似的優先順序。您可以使用GITLEAKS_CONFIG顯式設置配置路徑或創建gitleaks.toml在存儲庫的根部，該庫將自動檢測並被gitleaks-action使用。

此GitHub操作是否向第三方發送任何數據？

Gitleaks-Action發送給任何第三方的唯一數據是與許可證密鑰驗證有關的數據（即GITLEAKS_LICENSE ，Repo Name和Repo所有者），該數據已發送到許可證密鑰驗證服務Keygen。您的代碼永遠不會離開github，因為掃描發生在GitHub操作碼頭容器中。

我可以將gitleaks-action用作GitHub代碼掃描的第三方工具嗎？

您可以，但不建議這樣做，因為它給出了錯誤的安全感。如果在一個提交中洩漏了一個秘密，然後在隨後的提交中刪除，則GitHub安全儀表板中的安全警報將顯示為已解決，即使該秘密在提交歷史記錄中仍然可見。為了真正解決洩漏，您應該旋轉秘密（還考慮重新編寫GIT歷史記錄以完全消除洩漏）。

為什麼我的gitleaks-action工作突然失敗了？

6/21/2022

2022年6月21日，我們將gitleaks Action V2合併到master分支。這是一個突破性的更新，我們努力通過GitHub，社交媒體等與盡可能多的用戶聯繫。如果您不知道此破壞更新即將到來，我們真誠地為您帶來了不便。好消息是，補救工作失敗很簡單！您可以：

升級到V2或
引導到較舊版本

請注意，如果您是掃描屬於組織的存儲庫，則必須獲取gitleaks_license才能使用v2（免費的“試用”許可證）。這可能令我的用戶感到驚訝的是，習慣於免費使用gitleaks-action的用戶，所以我寫了一篇博客文章，解釋了我如何/為什麼決定將該項目貨幣化：https：//blog.gitleaks.io/gitleaks-gitleaks-gitleaks-llc-llc-llc-llc-annection-d7d06a52e801111111111.80111801118011180111180111180111180111180111180111011011011180111011011011011011101101101101101101101101101101101101101111

最後，請參閱上面的摘要，以了解為什麼我認為您會喜歡新的V2版本：V2好處