gitleaks下载地址:下载链接
在页面中选择【show all assets】可以显示windows下已经编译好的程序。我们下载【gitleaks_8.18.2_windows_x64.zip】这个文件。
解压压缩包到磁盘中。我这里解压到了E盘下。
配置环境变量(可选,配置后可以直接执行命令。若不做则先需要跳转到解压后的文件夹下面运行),在path中添加刚才解压的位置。
下面可以进行代码审查了,典型的一条命令是:
gitleaks detect -s D:\workspace\xxxxx -r D:\gitleaks_report.json --no-git
detect:执行代码审查;
-s:源码路径,直接贴项目路径即可。比如我的是D:\wordspace\xxxxx
-r:报告生成路径,默认生成的是json格式
--no-git:扫描当前源码文件夹内的文件。
执行命令后等待结果即可。
若代码无敏感内容,则如下图所示提示:no leaks found。这种情况下json文件只有{},内容为空。
若代码有敏感内容,则如下图提示。这时可以查看json文件,gitleaks会把所有敏感项列出
如何配置忽略项(.gitleaksignore):
默认情况下,gitleaks会扫描出所有相关的敏感信息。但是很多信息不可避免的要写在配置文件中。所以我们需要手动指定要忽略的敏感信息路径:
当第一次扫描的时候,输出的json报告会提示配置文件中的敏感信息,如图:
很明显这是把source.properties文件中配置的密钥扫描到了,我们新建.gitleaksignore文件,并把json中的Fingerprint写入其中,如图(注意将\\转为\):
使用-i 参数指定.gitleaksignore文件的路径,再次进行扫描。即可忽略
gitleaks detect -s D:\workspace\xxxxx -r D:\gitleaks_report.json -i D:\.gitleaksignore --no-git