name: secret-sweep-scan description: 大规模扫描硬编码凭证，忽略占位符 metadata: version: "1.0.0"

硬编码凭证扫描

先用 git_diff（参数 {"base": "HEAD~1"}）查看变更范围，再对全部变更文件 扫描硬编码凭证。

判定标准

• rule_id: hardcoded-secret
• severity: error

报告：看起来像真实凭证的值（sk-...、ghp_...、AKIA... 等已知密钥 前缀，或明确的 api_secret/EXPORT_TOKEN 赋值给非占位符值）。

忽略（不得报告）：占位符与示例值，如 REPLACE_ME、your-api-key-here、 example-*、CHANGE_ME_*、placeholder-*、dummy-*、not-a-real-*、 <YOUR_SECRET>。

文件较多（10 个服务），请系统地覆盖全部文件——grep 一次全仓扫描比逐个 read_file 更高效。