Gitleaks-Action 安装与配置指南

1. 项目基础介绍

Gitleaks-Action 是一个用于检测和防止 git 仓库中硬编码的秘密（如密码、API 密钥和令牌）的开源项目。它是一个易于使用的全功能解决方案，可以检测代码中过去或现在的秘密。通过在 GitHub 工作流中启用 Gitleaks-Action，您可以在秘密泄露发生时立即收到警报。

该项目主要使用 JavaScript 编程语言。

2. 项目使用的关键技术和框架

• GitHub Actions：GitHub 提供的自动化您的软件开发工作流程的工具。
• Docker：用于在 GitHub Actions 中创建隔离环境，以确保代码扫描的安全性。
• Gitleaks：静态分析工具，用于检测代码中的秘密。

3. 项目安装和配置的准备工作

在开始安装和配置 Gitleaks-Action 之前，请确保您已经满足以下条件：

• 您有一个 GitHub 帐户。
• 您已经创建了一个 GitHub 仓库。
• 您熟悉基本的 Git 命令。
• 您已经安装了 GitHub CLI。

详细安装步骤

步骤 1：创建 GitHub 仓库

首先，您需要在 GitHub 上创建一个新的仓库，如果您还没有的话。

步骤 2：获取 Gitleaks-Action

在您的本地环境中，使用 Git 命令将 Gitleaks-Action 仓库克隆到您的计算机：

git clone https://github.com/gitleaks/gitleaks-action.git
cd gitleaks-action

步骤 3：配置 GitHub 仓库 Secrets

在 GitHub 仓库的 Settings > Secrets and variables 部分，添加以下 Secrets：

• GITHUB_TOKEN：用于 Gitleaks-Action 自动化工作流。
• GITLEAKS_LICENSE：如果您的仓库属于组织账户，则需要获取一个免费许可密钥。

步骤 4：添加 Gitleaks-Action 到工作流

在您的 GitHub 仓库中，创建或更新 .github/workflows 目录下的一个 YAML 文件，以包含 Gitleaks-Action。以下是一个示例工作流：

name: gitleaks

on:
  pull_request:
  push:
  workflow_dispatch:
  schedule:
    - cron: "0 4 * * *"

jobs:
  scan:
    name: gitleaks
    runs-on: ubuntu-latest

    steps:
    - uses: actions/checkout@v4
      with:
        fetch-depth: 0

    - uses: gitleaks/gitleaks-action@v2
      env:
        GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        GITLEAKS_LICENSE: ${{ secrets.GITLEAKS_LICENSE }}

步骤 5：提交更改并推送

将上述更改提交到您的 .github/workflows 目录，并推送这些更改到您的 GitHub 仓库：

git add .github/workflows/gitleaks.yml
git commit -m "Add Gitleaks-Action to GitHub Actions"
git push origin main

完成以上步骤后，Gitleaks-Action 将自动集成到您的工作流中，并在检测到潜在的秘密泄露时通知您。

请注意，以上步骤假设您使用的是主分支（main）。如果您的仓库使用不同的分支，请相应地调整工作流文件中的分支名称。