GitHub 代码安全扫描:别让密钥裸奔，别让漏洞上线
密钥泄露 · Actions 加固 · 发布门禁 · 3 场景 × 6 个可一键安装的真实 Skill
掘技出品
你是不是也在担惊受怕
DeepSeek 数据泄露事件后扫描发现 11908 个有效 API 密钥被公开在网络上，包括 AWS、Slack、Mailchimp 等核心服务。你的项目可能正在用这些「裸奔」密钥。
小红书 · 安全资讯观察
GitHub 最流行的容器漏洞扫描工具 Trivy，它的 GitHub Actions 一个月内第二次失陷——攻击者不仅偷走了你的房门钥匙(GitHub 访问令牌)，还把所有包裹标签换成伪造的。
小红书 · 安全圈吃瓜现场
紧急提醒:GitHub Copilot Free/Pro 的交互数据默认会被用于模型训练，而包含在代码上下文里的 API 密钥、数据库凭证等敏感信息存在泄露风险，请立即关闭训练开关。
小红书 · Copilot 用户自救
这些散布在小红书 / 知乎 / 即刻 / X 上的真实心声，拼在一起就是大家做「排查 GitHub 仓库密钥泄露和依赖漏洞」时的日常痛点。
懒人方案 · 推荐
装一次掘技，让 Agent 自己找 Skill
你要做的「排查 GitHub 仓库密钥泄露和依赖漏洞」任务，对应的 Skill 觅游都有。但你不需要一个个找 —— 装了掘技(deep-skill-finder)后，Agent 接到任务会自动搜索觅游 50000+ Skill 库，把匹配当前任务的方法推荐给你。你只管说要做什么，匹配 Skill 的事交给 Agent。
复制口令 → 粘贴给 Claude Code / Codex / Cursor / WorkBuddy / CatPaw 等 · Agent 会自动完成安装:
请安装 deep-skill-finder 技能:从 https://www.meyo.life/skill-finder 下载技能压缩包，解压到本地技能目录并启用。
也可以往下看常用场景 Skill。想深入了解掘技 → meyo.life/skill
代码安全场景 × Skill 推荐
可以都装，也可以看名字挑 1 到 2 个装。不用担心装错，免费，不满意随时卸。
密钥泄露排查
扫描代码与 git 历史，把裸奔的 API Key 找出来
适合所有把密钥写进过代码的人
4474 人在用
40+ 种密钥模式递归扫描
secret_scanner.py 递归扫目录，覆盖云密钥和 AI key 等 40+ 种模式，按 Critical 到 Low 分级输出报告
1439 人在用
💬 加入掘技社群
和其他掘技用户交流「排查 GitHub 仓库密钥泄露和依赖漏洞」经验 · 掘技团队会解答装配问题
进群备注你做的事
常见问题
Q: 我已经把密钥写进代码并 push 了，现在补救还来得及吗?
A: 来得及，但直接删掉那一行是不够的——密钥已经进了 git 历史。先用 credential-scanner 或 skillet-security-sweep 这类能扫 git 全历史的 Skill 把所有泄露点找出来，然后立刻去服务商后台吊销轮换密钥，最后再考虑用 git filter-repo 清理历史。顺序错了等于白做。
Q: npm audit 和 pip-audit 我可以自己跑，为什么要装 Skill?
A: 自己跑工具只能看到一串 CVE 列表，装了 code-vuln-audit 这类 Skill 后，你的 Agent 会自动识别项目类型、选择对应审计工具、解读结果并按严重度整理成修复建议。你只需要说「帮我排查这个仓库的依赖漏洞」，不用记命令和参数。
Q: GitHub Actions 的 pull_request_target 到底有多危险?
A: 它是被攻击最多的触发器之一:外部 fork 的 PR 代码会在有 secrets 权限的上下文里执行，一旦工作流里还把 secret 传给了未固定版本的第三方 action，等于把钥匙交给陌生人。github-actions-secret-exposure-audit 专门检测这几类组合风险，并按风险评分输出报告。
Q: 这些扫描会不会把我的代码传到外部服务?
A: 不一定，取决于 Skill 的实现。code-vuln-audit、aladin-secure-forge 这类纯本地脚本扫描不会外传;warden-scan 这类调用 Semgrep Registry 的会联网。装之前看一眼推荐理由里的安全审查标注，对代码敏感的团队优先选标了「纯本地」的。
Q: CI 门禁会不会拖慢我们的发布节奏?
A: 设计合理的门禁只在高危项上阻断。ship-gate 和 aladin-secure-forge 都支持按 CRITICAL / HIGH 阈值决定退出码，低危只警告不拦截;github-actions-workflow-hardening-audit 是静态结构检查，秒级完成。先从只警告不阻断的观察模式跑起，再逐步收紧。
Q: 我的仓库是私有的，也需要做这些检查吗?
A: 需要。密钥泄露不只发生在开源仓库——Trivy Actions 失陷事件说明，CI 系统本身就是攻击面;私有仓库一旦有第三方 action 被投毒，token 照样被偷。而且将来某天开源、或者员工 clone 到个人电脑，历史里的密钥就是定时炸弹。
Q: 掘技(Deep Skill Finder)和这些 Skill 是什么关系?
A: 掘技是装在 Agent 里的技能发现引擎:你说出「帮我查依赖漏洞」这类任务，它会自动搜索并推荐上面这些真实 Skill。你不需要背 Skill 名单，装一次掘技，安全任务来的时候它自己找到合适的工具。