安全与审计

# 启用 cache helper，默认缓存 15 分钟（900 秒）
git config --global credential.helper cache

# 自定义缓存超时时间，例如 8 小时
git config --global credential.helper 'cache --timeout=28800'

# 钾对特定域名设置不同超时
git config --global credential.https://github.com.helper 'cache --timeout=28800'

# 启用 store helper
git config --global credential.helper store

# 指定自定义存储文件路径
git config --global credential.helper 'store --file=/path/to/credentials'

# 启用 macOS Keychain helper
git config --global credential.helper osxkeychain

# 安装依赖（Ubuntu/Debian）
sudo apt-get install libsecret-1-0 libsecret-1-dev

# 编译 Git credential-libsecret
cd /usr/share/doc/git/contrib/credential/libsecret
sudo make

# 启用
git config --global credential.helper /usr/share/doc/git/contrib/credential/libsecret/git-credential-libsecret

# 启用 Windows Credential Manager（Git for Windows 2.x 默认配置）
git config --global credential.helper manager-core

# 旧版 Git for Windows 使用 manager
git config --global credential.helper manager

# 先查内存缓存，未命中则查 macOS Keychain
git config --global credential.helper 'cache --timeout=3600'
git config --global --add credential.helper osxkeychain

# Git 发送给 helper 的输入（每行一个键值对，空行结束）
protocol=https
host=github.com
username=alice

# Helper 返回给 Git 的输出
protocol=https
host=github.com
username=alice
password=********

#!/usr/bin/env python3
"""企业密钥管理服务 credential helper"""
import sys
import requests

def get_credential(protocol, host):
    """从企业密钥管理服务查询凭证"""
    resp = requests.get(
        f"https://secrets.internal.company.com/api/credential",
        params={"protocol": protocol, "host": host},
        headers={"Authorization": "Bearer $SERVICE_TOKEN"},
        timeout=5
    )
    if resp.status_code == 200:
        data = resp.json()
        return data.get("username"), data.get("password")
    return None, None

def main():
    # 读取 Git 传入的凭证请求
    params = {}
    for line in sys.stdin:
        line = line.strip()
        if not line:
            break
        if '=' in line:
            key, value = line.split('=', 1)
            params[key] = value

    action = sys.argv[1] if len(sys.argv) > 1 else 'fill'

    if action == 'fill':
        username, password = get_credential(
            params.get('protocol', ''),
            params.get('host', '')
        )
        if username and password:
            print(f"protocol={params.get('protocol', '')}")
            print(f"host={params.get('host', '')}")
            print(f"username={username}")
            print(f"password={password}")

    # get/erase/store 操作可根据需要实现

if __name__ == '__main__':
    main()

# 注册自定义 helper
git config --global credential.helper '/path/to/git-credential-company.py'

# macOS 开发者
git config --global credential.helper 'cache --timeout=7200'
git config --global --add credential.helper osxkeychain

# Windows 开发者
git config --global credential.helper manager-core

# CI/CD 环境：使用环境变量注入，避免落盘
# 通过自定义 helper 从 CI 密钥管理服务读取
git config --global credential.helper '/opt/ci/git-credential-ci.sh'

# 错误做法：仅删除文件并提交
rm config/secrets.yml
git add config/secrets.yml
git commit -m "remove secrets file"

# 通过 pip 安装
pip install git-filter-repo

# macOS Homebrew
brew install git-filter-repo

# 确认安装
git filter-repo --version

# 删除 config/secrets.yml 的所有历史记录
git filter-repo --path config/secrets.yml --invert-paths --force

# 删除 credentials/ 目录的所有历史
git filter-repo --path credentials/ --invert-paths --force

# 同时删除多个文件/目录
git filter-repo --path config/secrets.yml --path .env.production --path credentials/ --invert-paths --force

# 创建替换规则文件 expressions.txt
# 内容：将所有出现的旧密钥替换为占位符
echo 'MY_SECRET_KEY_12345==>REDACTED_SECRET_KEY' > expressions.txt

# 执行替换
git filter-repo --replace-text expressions.txt --force

# 替换所有看起来像 AWS 密钥的字符串
echo 'regex:AKIA[0-9A-Z]{16}==>REDACTED_AWS_KEY' > expressions.txt
git filter-repo --replace-text expressions.txt --force

# 1. 清理完成后，重新添加远程（filter-repo 会移除远程配置）
git remote add origin git@github.com:company/project.git

# 2. 强制推送所有分支
git push --force --all

# 3. 强制推送所有标签
git push --force --tags

# 4. 团队成员重新克隆
# 其他开发者必须执行：
cd ..
rm -rf project
git clone git@github.com:company/project.git

# 5. 如果有人有未推送的本地提交，需要 rebase 到新历史上
# 先获取最新历史
git fetch --all
# 将本地提交 rebase 到新的主分支上
git rebase origin/main

https://example.com/.git/config          → 仓库配置
https://example.com/.git/HEAD            → 当前分支
https://example.com/.git/objects/pack/   → 打包的对象文件
https://example.com/.git/packed-refs     → 引用列表

# 拒绝所有对 .git 目录的访问
location ~ /\.git {
    deny all;
    return 404;
}

# 更严格：拒绝所有以点开头的隐藏文件/目录
location ~ /\. {
    deny all;
    return 404;
}

# 在 .htaccess 或虚拟主机配置中
<DirectoryMatch "^\.|\.git">
    Require all denied
</DirectoryMatch>

# 或者
RedirectMatch 404 /\.git

# 确保 .git 目录仅所有者可访问
chmod 700 .git
chmod 600 .git/config

# 递归设置 .git 目录权限
find .git -type d -exec chmod 700 {} +
find .git -type f -exec chmod 600 {} +

# 确保所属用户正确
chown -R webapp:webapp .git

# 检查 Web 服务器是否暴露了 .git 目录
curl -s -o /dev/null -w "%{http_code}" https://your-site.com/.git/config

# 返回 200 表示暴露，403/404 表示已防护
# 批量检测脚本
for site in $(cat sites.txt); do
    status=$(curl -s -o /dev/null -w "%{http_code}" "https://${site}/.git/HEAD")
    if [ "$status" = "200" ]; then
        echo "WARNING: ${site} exposes .git directory!"
    fi
done

# 查看指定作者的所有提交
git log --author="zhangsan"

# 支持正则匹配（查看 zhang 开头的所有作者）
git log --author="zhang.*"

# 查看多个作者（使用 --no-walk 组合或多次 --author）
git log --author="alice" --author="bob"

# 按邮箱精确匹配
git log --author="zhangsan@company.com"

# 统计各作者提交数
git shortlog --summary --numbered
# 输出示例：
#   120  Alice
#    85  Bob
#    42  Charlie

# 指定日期之后
git log --since="2024-01-01"

# 指定日期之前
git log --until="2024-12-31"

# 时间范围
git log --since="2024-06-01" --until="2024-06-30"

# 相对时间
git log --since="2 weeks ago"
git log --since="3 days ago" --until="1 day ago"

# 按作者时间（而非提交时间）过滤
git log --author-date-order --since="2024-01-01"

# 查看指定文件的所有变更历史
git log -- path/to/file

# 查看指定目录的变更历史
git log -- src/auth/

# 组合条件：某作者在某时间段对某文件的修改
git log --author="alice" --since="2024-01-01" --until="2024-03-31" -- config/database.yml

# 查看文件内容的逐行变更
git log -p -- path/to/file

# 查看文件每次提交的变更统计
git log --stat -- path/to/file

# 搜索包含指定字符串的提交（新增或删除了该字符串）
git log -S "DATABASE_PASSWORD"

# 搜索新增了指定字符串的提交（字符串在 diff 中从无到有）
git log -S "api_key" --diff-filter=A

# 搜索删除了指定字符串的提交
git log -S "secret_token" --diff-filter=D

# 使用正则表达式搜索
git log -S "AKIA[A-Z0-9]{16}" --regexp-ignore-case

# 搜索字符串变更并显示具体 diff
git log -S "password" -p

# -G 选项：搜索与正则匹配的行的变更（更灵活）
# -S 搜索字符串出现次数的变化，-G 搜索 diff 中匹配正则的行
git log -G "private_key\s*=" -p

# 查找所有被删除的文件
git log --diff-filter=D --summary

# 查找被删除的文件，只显示文件名
git log --diff-filter=D --pretty=format:"%H %s" --name-only

# 查找指定目录下被删除的文件
git log --diff-filter=D --name-only -- src/config/

# 查找被删除的文件并显示完整 diff
git log --diff-filter=D -p -- path/to/deleted/file

# diff-filter 选项汇总
# A = Added, C = Copied, D = Deleted, M = Modified
# R = Renamed, T = Type change, U = Unmerged
# 组合使用：查找新增和修改的文件
git log --diff-filter=AM --name-only

# 按作者统计提交数
git shortlog --summary --numbered

# 按作者统计代码行数变更
git log --author="alice" --pretty=tformat: --numstat | \
    awk '{ add += $1; subs += $2 } END { printf "added: %s, removed: %s\n", add, subs }'

# 统计每个作者的增删行数
git log --format='%aN' | sort -u | while read name; do
    echo -n "$name: "
    git log --author="$name" --pretty=tformat: --numstat | \
        awk '{ add += $1; subs += $2 } END { printf "+%s/-%s\n", add, subs }'
done

# 查看仓库整体统计
git log --oneline | wc -l          # 总提交数
git log --pretty=tformat: --numstat | \
    awk '{ add += $1; subs += $2 } END { printf "total: +%s/-%s\n", add, subs }'

# 查看指定时间段的活跃度
git log --since="2024-01-01" --until="2024-12-31" --format="%ad" --date=format:"%Y-%m" | \
    sort | uniq -c | sort -rn

# === 快速审计命令 ===

# 1. 谁在什么时候修改了敏感配置文件？
git log -p -- config/database.yml

# 2. 谁添加了那个可疑的依赖？
git log -S "suspicious-package" -p -- package.json

# 3. 最近删除了哪些文件？
git log --diff-filter=D --name-only --since="1 week ago"

# 4. 某个 API 密钥何时被引入？
git log -S "AKIAIOSFODNN7EXAMPLE" --all

# 5. 谁在周末提交了代码？（可能异常行为）
git log --format="%H %ad %an" --date=format:"%u %A" | awk '$1 ~ /^[06]/'

# 6. 查找空提交或可疑的合并提交
git log --merges --format="%H %s" --since="1 month ago"

# 7. 检查是否有直接推送到 main 的提交（绕过 PR）
git log main --not --remotes=origin/main --format="%H %an %ad %s"

# 安装
pip install detect-secrets

# 扫描仓库中的潜在密钥
detect-secrets scan

# 扫描并生成基线文件
detect-secrets scan > .secrets.baseline

# 审计基线文件（确认哪些是真正的密钥，哪些是误报）
detect-secrets audit .secrets.baseline

# 更新基线
detect-secrets scan --update .secrets.baseline

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/Yelp/detect-secrets
    rev: v1.4.0
    hooks:
      - id: detect-secrets
        args: ['--baseline', '.secrets.baseline']
        exclude: package-lock.json

# 安装
# macOS
brew install gitleaks

# 或通过 Go 安装
go install github.com/gitleaks/gitleaks/v8/cmd/gitleaks@latest

# 检测当前暂存区的变更
gitleaks protect --staged

# 检测整个仓库历史
gitleaks detect

# 检测指定提交范围
gitleaks detect --log-opts="--commit-from=abc123 --commit-to=def456"

# 使用自定义配置
gitleaks detect --config-path=.gitleaks.toml

title = "企业自定义密钥检测规则"

[rules]
id = "company-api-key"
description = "公司内部 API 密钥"
regex = '''COMPANY_API_KEY_[A-Za-z0-9]{32}'''
tags = ["key", "company"]

[rules]
id = "database-connection-string"
description = "数据库连接字符串"
regex = '''(?:mysql|postgres|mongodb)://[^\s]+:[^\s]+@[^\s]+'''
tags = ["database", "credential"]

[rules]
id = "jwt-secret"
description = "JWT Secret"
regex = '''JWT_SECRET\s*=\s*['"][^'"]+['"]'''
tags = ["jwt", "secret"]

# 允许列表（排除误报）
[allowlist]
paths = [
    '''^tests/.*$''',
    '''^fixtures/.*$''',
]
regexes = [
    '''EXAMPLE_KEY''',
]

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.0
    hooks:
      - id: gitleaks

# .pre-commit-config.yaml —— 企业级安全钩子配置
repos:
  # 密钥检测
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.18.0
    hooks:
      - id: gitleaks

  # 防止提交大文件（可能包含密钥文件）
  - repo: https://github.com/pre-commit/pre-commit-hooks
    rev: v4.5.0
    hooks:
      - id: check-added-large-files
        args: ['--maxkb=500']
      - id: detect-private-key
      - id: no-commit-to-branch
        args: ['--branch', 'main', '--branch', 'master']

  # YAML/JSON 安全检查（防止在配置文件中硬编码密钥）
  - repo: https://github.com/pre-commit/pre-commit-hooks
    rev: v4.5.0
    hooks:
      - id: check-yaml
      - id: check-json

# .github/workflows/security-scan.yml
name: Security Scan

on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]

jobs:
  gitleaks:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0  # 获取完整历史，确保全历史扫描

      - name: gitleaks scan
        uses: gitleaks/gitleaks-action@v2
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

# === 敏感文件排除 ===

# 环境变量文件
.env
.env.local
.env.production
.env.staging

# 密钥和证书
*.pem
*.key
*.p12
*.pfx
id_rsa
id_ed25519
*.jks

# 配置文件中的敏感部分
config/secrets.yml
config/database.yml
application-prod.yml

# 云服务凭证
.aws/credentials
.gcp/service-account.json
.azure/credentials

# 编辑器临时文件（可能包含敏感信息）
*.swp
*.swo
*~

# 操作系统文件
.DS_Store
Thumbs.db