密钥扫出来还不算完一份把「GitHub组织密钥扫描」做透的实操手册【免费下载链接】kingfisherDetect leaked secrets live validation. Map blast radius across your stack. Revoke fast. 1,000 rules.项目地址: https://gitcode.com/gh_mirrors/kingf/kingfisher一个深夜的 P0 事件某开发把 AWS 访问密钥粘贴进了一个公开仓库的配置文件等到安全团队发现时攻击者已经用这把钥匙读走了生产环境的 S3 数据。这类事故几乎每天都在 GitHub 上重演而最扎心的是——密钥早就躺在仓库里只是没人去翻。Kingfisher正是为这类场景而生的开源密钥扫描工具它内置 1000 检测规则能在扫描出疑似密钥后立即调用服务商 API 做实时有效性验证还能把泄露凭证的权限范围blast radius画成一张图帮你判断这串字符到底值不值得恐慌。一、先回答三个最扎心的问题在动手之前不妨用三个问题来框定思路下文每一节都对应其中一条你真正关心的Kingfisher 给出的答案密钥藏在哪、扫得全吗支持组织、单仓库、贡献者项目、issues/wiki/gists 等多种扫描目标扫出来的东西是真是假通过官方 API 做实时验证只把仍有效的挑出来泄露了影响多大、怎么止损访问映射图 一键撤销 基线/钩子防再犯这个思路也正好对应了密钥治理的三个阶段发现 → 验证 → 止损。下面按这个节奏一步步来。二、五分钟装好工具先跑通第一条扫描命令Kingfisher 的安装方式很多挑顺手的一种即可# macOS / LinuxHomebrew 一条命令 brew install kingfisher # 或者用官方安装脚本自动下载最新版到 ~/.local/bin curl -sSL https://raw.githubusercontent.com/mongodb/kingfisher/main/scripts/install-kingfisher.sh | bash # 不想污染本机环境直接用 uv 工具 uv tool install kingfisher-binWindows 用户可以用 PowerShell 安装器scripts/install-kingfisher.ps1嫌麻烦的话Docker 一条命令也能跑docker run --rm -v $PWD:/src ghcr.io/mongodb/kingfisher:latest scan /src。想从源码编译的开发者源码位于 https://gitcode.com/gh_mirrors/kingf/kingfisher。装好后先拿手头任意代码目录试水kingfisher scan /path/to/code这条命令没有指定目标类型Kingfisher 会自动判断输入是 Git 仓库、包含多个仓库的目录还是普通文件夹然后对文件内容 Git 提交历史同时做密钥扫描。注意如果你只想看当前工作区的文件、不关心历史提交加一个--git-historynone即可。为了对后续的扫描量有直观感知这里有一份 MongoDB 工程团队的内部实测数据来源见 docs/runtime-comparison.png在多个大型开源仓库上Kingfisher 的扫描耗时比同类工具快了不少三、场景一日常巡检——把整个 GitHub 组织翻个底朝天1. 前置准备一个有权限的令牌扫描 GitHub 组织之前先创建 Personal Access Token并设置环境变量。令牌建议覆盖这三类权限否则私有仓库、组织信息和用户信息都拿不到export KF_GITHUB_TOKENghp_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx2. 一条命令扫完全部组织仓库kingfisher scan github --organization your-org-name这句命令做三件事枚举组织下所有仓库 → 拉取代码与提交历史 → 对发现结果逐条调用 GitHub 官方接口验证。如果你只想看确认真实有效的凭证追加--only-valid等价于--validation-filter active就能过滤掉绝大多数静态误报。3. 控制扫描范围别让速度失控组织仓库一多全量克隆既慢又费流量Kingfisher 给了几个很实用的节流阀# 最多克隆 100 个仓库防止刷爆配额 kingfisher scan github --organization your-org-name --repo-clone-limit 100 # 顺便检查 issues、wiki 和公开 gists这些地方也常藏密钥 kingfisher scan github --organization your-org-name --repo-artifacts # 跳过特定仓库比如容量超大的归档库 kingfisher scan github --organization your-org-name \ --github-exclude my-org/huge-repo --github-exclude my-org/*-archive4. 把贡献者的私货也纳入视野很多泄露其实发生在个人项目里开发者习惯用同一套凭证结果把自己的 GitHub Token 提交到了 side project。--include-contributors会枚举组织仓库的贡献者并尝试克隆他们名下的其他公开项目再扫一遍kingfisher scan github --organization your-org-name --include-contributors --repo-clone-limit 250需要提醒这种顺着人脉扩散的扫描会明显增加 API 调用量配置令牌能拿到更高的速率上限默认不扫描 fork想包含 fork 可以加--github-repo-type all。四、场景二应急响应——扫到了怎么快速判断真假扫描结果里通常混着三类东西已被验证依然有效的凭证、高置信度但未联网验证的静态密钥、以及已失效或无法判断的噪音。Kingfisher 把每一类都标得明明白白# 只输出经第三方 API 验证为有效的结果用于应急清单 kingfisher scan github --organization your-org-name --only-valid # 想在保留高置信度结果的同时带上活跃凭证 kingfisher scan github --organization your-org-name --validation-filter actionable--validation-filter支持三个取值all全部保留默认、active仅verified_active、actionable有效 高置信度假定有效。机器化集成的场景下建议读取 JSON 输出中的finding.validation.outcome字段来判断状态而不是去解析展示文案。如果手里已经握着一段明确的密钥比如来自其他告警渠道不用重新扫描直接喂给校验命令# 单条校验这条命令会调用 GitHub API确认令牌是否还活着 kingfisher validate --rule github ghp_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx # 从管道读取批量密钥 cat leaked-tokens.txt | kingfisher validate --rule github -确认某把钥匙已经废了那就别客气直接撤销kingfisher revoke --rule github ghp_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxvalidate和revoke支持按规则前缀匹配github会自动展开到kingfisher.github.*也支持--arg/--var给 AWS 这类需要多字段的规则补齐参数详见 docs/USAGE.md 的验证章节。五、场景三深度研判——把泄露影响画成一张图找到密钥只是第一步真正该问的是这把钥匙能打开多少扇门Kingfisher 的访问映射Access Map功能会拿着发现的云厂商凭证AWS、GCP、Azure、Slack 等实际登录一次枚举出它属于哪个身份、能访问哪些资源、拥有哪些权限# 扫描时顺带做访问映射并把报告在浏览器里打开 kingfisher scan github --organization your-org-name --access-map --view-report--view-report会在本机127.0.0.1:7890起一个本地报告查看器并自动打开浏览器生成的 JSON 报告也可以用kingfisher view kingfisher.json随时回看甚至可以同时传入多份报告合并展示按指纹去重。下图就是一次带--access-map扫描的查看器界面左侧是身份AWS/GCP中间是被泄露凭证可达的资源右侧是它拥有的具体权限一眼就能看出生产桶 管理员角色这种高危组合⚠️ 访问映射会向目标云厂商发起额外的认证请求请确保你有权对该账号做这种检查别拿扫描结果去试探不属于自己的系统。查看器里每条发现都带有验证状态、置信度和所在文件行号方便你按活跃凭证优先的顺序排期轮换界面形态可以参考 docs/demos/findings-thumbnail.png六、场景四上线前拦截——把密钥挡在提交动作之外靠事后扫描永远是被动的更聪明的做法是把检查嵌进提交前和合并前两个环节。1. Git 预提交钩子提交即拦截仓库根目录执行一次就会装好预提交钩子钩子会在提交前扫描暂存区内容一旦发现有效凭证就以非零退出码拦下这次提交curl -sSL https://raw.githubusercontent.com/mongodb/kingfisher/main/scripts/install-kingfisher-pre-commit.sh | bash也可以接入pre-commit框架在配置里声明kingfisher-auto钩子它会自动下载并缓存对应平台的二进制。钩子内部实际执行的是kingfisher scan . --staged --quiet --no-update-check只对暂存变更做扫描速度快、噪音小。发现凭证时 Kingfisher 返回退出码205无需额外处理提交自然失败。2. CI 里只扫增量合并不放过在流水线中配合分支信息做增量扫描避免每次全量重跑kingfisher scan . --since-commit origin/main --branch $CI_BRANCH3. 基线管理已知问题不再反复报警已经排查过的历史密钥可以落成基线文件后续扫描自动忽略、只报新泄露# 首轮扫描时把当前所有发现写入基线 kingfisher scan github --organization your-org-name \ --confidence low --manage-baseline --baseline-file ./baseline.yml # 之后带基线扫描只看新增问题 kingfisher scan github --organization your-org-name --baseline-file ./baseline.yml七、场景五内网/企业实例——GitHub Enterprise 照样扫自托管的 GitHub Enterprise 在地址上跟公有云不同需要同时告诉 Kingfisher 两个地址一个是枚举与克隆用的 API 根路径一个是令牌校验与撤销用的端点KF_GITHUB_TOKENghp_... kingfisher scan github \ --organization my-org \ --api-url https://ghe.corp.example.com/api/v3/ \ --endpoint githubhttps://ghe.corp.example.com扫整个实例的全部组织用--all-orgs实例跑在内网RFC1918 地址时记得追加--allow-internal-ips关闭默认的 SSRF 防护否则验证请求会被拦下KF_GITHUB_TOKENghp_... kingfisher scan github \ --organization my-org \ --api-url https://ghe.internal/api/v3/ \ --endpoint githubhttps://ghe.internal \ --allow-internal-ips令牌的作用域是受控的KF_GITHUB_TOKEN会被安装为只发送给github.com及你显式指定的 GHE 主机的 git 凭据未受信任的克隆源或明文http://地址永远拿不到它。八、性能与细节扫得快也要扫得准编译期缓存规则kingfisher rules compile-cache可以把规则集预编译减少每次扫描的启动开销。极限提速--turbo模式适合大体量仓库的快速排查。限制文件体积--max-file-size 100单位 MB跳过超大文件避免解析卡顿。控制验证速率--validation-rps 5限制全局验证请求速率--validation-rps-rule github2可单独为某类规则限速防止触发服务商封禁。输出格式自由--format json/jsonl/sarif/html/toon配合--output落地成报告toon格式对 LLM/Agent 工作流更省 token。在安装体积上 Kingfisher 也相当克制macOS arm64 下的二进制约 33 MB同类工具常达到 160 MB 级别对比数据见 docs/binary-size-comparison.png。九、把这套流程固化下来如果只记住三件事每周定时全量扫描一次组织输出 JSON 存档备查cron 里把--format json --output指到日志目录即可每条上线路径都挂上预提交钩子或 CI 增量扫描把密钥拦截在提交之前发现即处置先--only-valid锁定活跃凭证再看--access-map评估影响面最后revoke撤销并把结果写进基线防止复发。完整的命令清单与参数释义见官方文档 docs/USAGE.md安装细节见 docs/INSTALLATION.md访问映射支持的服务商范围见 docs/ACCESS_MAP.md。密钥泄露这种事怕的不是发现得晚而是永远没发现。把扫描变成习惯让每一次提交都经过检查你离下一次深夜 P0 事故就远了一步。【免费下载链接】kingfisherDetect leaked secrets live validation. Map blast radius across your stack. Revoke fast. 1,000 rules.项目地址: https://gitcode.com/gh_mirrors/kingf/kingfisher创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 密钥扫出来还不算完？一份把「GitHub组织密钥扫描」做透的实操手册
密钥扫出来还不算完一份把「GitHub组织密钥扫描」做透的实操手册【免费下载链接】kingfisherDetect leaked secrets live validation. Map blast radius across your stack. Revoke fast. 1,000 rules.项目地址: https://gitcode.com/gh_mirrors/kingf/kingfisher一个深夜的 P0 事件某开发把 AWS 访问密钥粘贴进了一个公开仓库的配置文件等到安全团队发现时攻击者已经用这把钥匙读走了生产环境的 S3 数据。这类事故几乎每天都在 GitHub 上重演而最扎心的是——密钥早就躺在仓库里只是没人去翻。Kingfisher正是为这类场景而生的开源密钥扫描工具它内置 1000 检测规则能在扫描出疑似密钥后立即调用服务商 API 做实时有效性验证还能把泄露凭证的权限范围blast radius画成一张图帮你判断这串字符到底值不值得恐慌。一、先回答三个最扎心的问题在动手之前不妨用三个问题来框定思路下文每一节都对应其中一条你真正关心的Kingfisher 给出的答案密钥藏在哪、扫得全吗支持组织、单仓库、贡献者项目、issues/wiki/gists 等多种扫描目标扫出来的东西是真是假通过官方 API 做实时验证只把仍有效的挑出来泄露了影响多大、怎么止损访问映射图 一键撤销 基线/钩子防再犯这个思路也正好对应了密钥治理的三个阶段发现 → 验证 → 止损。下面按这个节奏一步步来。二、五分钟装好工具先跑通第一条扫描命令Kingfisher 的安装方式很多挑顺手的一种即可# macOS / LinuxHomebrew 一条命令 brew install kingfisher # 或者用官方安装脚本自动下载最新版到 ~/.local/bin curl -sSL https://raw.githubusercontent.com/mongodb/kingfisher/main/scripts/install-kingfisher.sh | bash # 不想污染本机环境直接用 uv 工具 uv tool install kingfisher-binWindows 用户可以用 PowerShell 安装器scripts/install-kingfisher.ps1嫌麻烦的话Docker 一条命令也能跑docker run --rm -v $PWD:/src ghcr.io/mongodb/kingfisher:latest scan /src。想从源码编译的开发者源码位于 https://gitcode.com/gh_mirrors/kingf/kingfisher。装好后先拿手头任意代码目录试水kingfisher scan /path/to/code这条命令没有指定目标类型Kingfisher 会自动判断输入是 Git 仓库、包含多个仓库的目录还是普通文件夹然后对文件内容 Git 提交历史同时做密钥扫描。注意如果你只想看当前工作区的文件、不关心历史提交加一个--git-historynone即可。为了对后续的扫描量有直观感知这里有一份 MongoDB 工程团队的内部实测数据来源见 docs/runtime-comparison.png在多个大型开源仓库上Kingfisher 的扫描耗时比同类工具快了不少三、场景一日常巡检——把整个 GitHub 组织翻个底朝天1. 前置准备一个有权限的令牌扫描 GitHub 组织之前先创建 Personal Access Token并设置环境变量。令牌建议覆盖这三类权限否则私有仓库、组织信息和用户信息都拿不到export KF_GITHUB_TOKENghp_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx2. 一条命令扫完全部组织仓库kingfisher scan github --organization your-org-name这句命令做三件事枚举组织下所有仓库 → 拉取代码与提交历史 → 对发现结果逐条调用 GitHub 官方接口验证。如果你只想看确认真实有效的凭证追加--only-valid等价于--validation-filter active就能过滤掉绝大多数静态误报。3. 控制扫描范围别让速度失控组织仓库一多全量克隆既慢又费流量Kingfisher 给了几个很实用的节流阀# 最多克隆 100 个仓库防止刷爆配额 kingfisher scan github --organization your-org-name --repo-clone-limit 100 # 顺便检查 issues、wiki 和公开 gists这些地方也常藏密钥 kingfisher scan github --organization your-org-name --repo-artifacts # 跳过特定仓库比如容量超大的归档库 kingfisher scan github --organization your-org-name \ --github-exclude my-org/huge-repo --github-exclude my-org/*-archive4. 把贡献者的私货也纳入视野很多泄露其实发生在个人项目里开发者习惯用同一套凭证结果把自己的 GitHub Token 提交到了 side project。--include-contributors会枚举组织仓库的贡献者并尝试克隆他们名下的其他公开项目再扫一遍kingfisher scan github --organization your-org-name --include-contributors --repo-clone-limit 250需要提醒这种顺着人脉扩散的扫描会明显增加 API 调用量配置令牌能拿到更高的速率上限默认不扫描 fork想包含 fork 可以加--github-repo-type all。四、场景二应急响应——扫到了怎么快速判断真假扫描结果里通常混着三类东西已被验证依然有效的凭证、高置信度但未联网验证的静态密钥、以及已失效或无法判断的噪音。Kingfisher 把每一类都标得明明白白# 只输出经第三方 API 验证为有效的结果用于应急清单 kingfisher scan github --organization your-org-name --only-valid # 想在保留高置信度结果的同时带上活跃凭证 kingfisher scan github --organization your-org-name --validation-filter actionable--validation-filter支持三个取值all全部保留默认、active仅verified_active、actionable有效 高置信度假定有效。机器化集成的场景下建议读取 JSON 输出中的finding.validation.outcome字段来判断状态而不是去解析展示文案。如果手里已经握着一段明确的密钥比如来自其他告警渠道不用重新扫描直接喂给校验命令# 单条校验这条命令会调用 GitHub API确认令牌是否还活着 kingfisher validate --rule github ghp_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx # 从管道读取批量密钥 cat leaked-tokens.txt | kingfisher validate --rule github -确认某把钥匙已经废了那就别客气直接撤销kingfisher revoke --rule github ghp_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxvalidate和revoke支持按规则前缀匹配github会自动展开到kingfisher.github.*也支持--arg/--var给 AWS 这类需要多字段的规则补齐参数详见 docs/USAGE.md 的验证章节。五、场景三深度研判——把泄露影响画成一张图找到密钥只是第一步真正该问的是这把钥匙能打开多少扇门Kingfisher 的访问映射Access Map功能会拿着发现的云厂商凭证AWS、GCP、Azure、Slack 等实际登录一次枚举出它属于哪个身份、能访问哪些资源、拥有哪些权限# 扫描时顺带做访问映射并把报告在浏览器里打开 kingfisher scan github --organization your-org-name --access-map --view-report--view-report会在本机127.0.0.1:7890起一个本地报告查看器并自动打开浏览器生成的 JSON 报告也可以用kingfisher view kingfisher.json随时回看甚至可以同时传入多份报告合并展示按指纹去重。下图就是一次带--access-map扫描的查看器界面左侧是身份AWS/GCP中间是被泄露凭证可达的资源右侧是它拥有的具体权限一眼就能看出生产桶 管理员角色这种高危组合⚠️ 访问映射会向目标云厂商发起额外的认证请求请确保你有权对该账号做这种检查别拿扫描结果去试探不属于自己的系统。查看器里每条发现都带有验证状态、置信度和所在文件行号方便你按活跃凭证优先的顺序排期轮换界面形态可以参考 docs/demos/findings-thumbnail.png六、场景四上线前拦截——把密钥挡在提交动作之外靠事后扫描永远是被动的更聪明的做法是把检查嵌进提交前和合并前两个环节。1. Git 预提交钩子提交即拦截仓库根目录执行一次就会装好预提交钩子钩子会在提交前扫描暂存区内容一旦发现有效凭证就以非零退出码拦下这次提交curl -sSL https://raw.githubusercontent.com/mongodb/kingfisher/main/scripts/install-kingfisher-pre-commit.sh | bash也可以接入pre-commit框架在配置里声明kingfisher-auto钩子它会自动下载并缓存对应平台的二进制。钩子内部实际执行的是kingfisher scan . --staged --quiet --no-update-check只对暂存变更做扫描速度快、噪音小。发现凭证时 Kingfisher 返回退出码205无需额外处理提交自然失败。2. CI 里只扫增量合并不放过在流水线中配合分支信息做增量扫描避免每次全量重跑kingfisher scan . --since-commit origin/main --branch $CI_BRANCH3. 基线管理已知问题不再反复报警已经排查过的历史密钥可以落成基线文件后续扫描自动忽略、只报新泄露# 首轮扫描时把当前所有发现写入基线 kingfisher scan github --organization your-org-name \ --confidence low --manage-baseline --baseline-file ./baseline.yml # 之后带基线扫描只看新增问题 kingfisher scan github --organization your-org-name --baseline-file ./baseline.yml七、场景五内网/企业实例——GitHub Enterprise 照样扫自托管的 GitHub Enterprise 在地址上跟公有云不同需要同时告诉 Kingfisher 两个地址一个是枚举与克隆用的 API 根路径一个是令牌校验与撤销用的端点KF_GITHUB_TOKENghp_... kingfisher scan github \ --organization my-org \ --api-url https://ghe.corp.example.com/api/v3/ \ --endpoint githubhttps://ghe.corp.example.com扫整个实例的全部组织用--all-orgs实例跑在内网RFC1918 地址时记得追加--allow-internal-ips关闭默认的 SSRF 防护否则验证请求会被拦下KF_GITHUB_TOKENghp_... kingfisher scan github \ --organization my-org \ --api-url https://ghe.internal/api/v3/ \ --endpoint githubhttps://ghe.internal \ --allow-internal-ips令牌的作用域是受控的KF_GITHUB_TOKEN会被安装为只发送给github.com及你显式指定的 GHE 主机的 git 凭据未受信任的克隆源或明文http://地址永远拿不到它。八、性能与细节扫得快也要扫得准编译期缓存规则kingfisher rules compile-cache可以把规则集预编译减少每次扫描的启动开销。极限提速--turbo模式适合大体量仓库的快速排查。限制文件体积--max-file-size 100单位 MB跳过超大文件避免解析卡顿。控制验证速率--validation-rps 5限制全局验证请求速率--validation-rps-rule github2可单独为某类规则限速防止触发服务商封禁。输出格式自由--format json/jsonl/sarif/html/toon配合--output落地成报告toon格式对 LLM/Agent 工作流更省 token。在安装体积上 Kingfisher 也相当克制macOS arm64 下的二进制约 33 MB同类工具常达到 160 MB 级别对比数据见 docs/binary-size-comparison.png。九、把这套流程固化下来如果只记住三件事每周定时全量扫描一次组织输出 JSON 存档备查cron 里把--format json --output指到日志目录即可每条上线路径都挂上预提交钩子或 CI 增量扫描把密钥拦截在提交之前发现即处置先--only-valid锁定活跃凭证再看--access-map评估影响面最后revoke撤销并把结果写进基线防止复发。完整的命令清单与参数释义见官方文档 docs/USAGE.md安装细节见 docs/INSTALLATION.md访问映射支持的服务商范围见 docs/ACCESS_MAP.md。密钥泄露这种事怕的不是发现得晚而是永远没发现。把扫描变成习惯让每一次提交都经过检查你离下一次深夜 P0 事故就远了一步。【免费下载链接】kingfisherDetect leaked secrets live validation. Map blast radius across your stack. Revoke fast. 1,000 rules.项目地址: https://gitcode.com/gh_mirrors/kingf/kingfisher创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考