GitHub 仓库在「裸奔」吗 · 密钥、依赖、漏洞一次查清的必装 Skill
把安全自查交给 Agent：扫密钥、查依赖、审代码，每个环节 2 个 Skill 搞定
掘技出品 · 仓库安全
密钥裸奔的人，先看这三句大实话
276 万网页含暴露凭证，63% 密钥被重复使用，1500+ Mailchimp 密钥直接嵌在 JS 里——你用的 AI 可能正在学习「如何泄露密码」。
小红书 · API 密钥裸奔观察
很多人第一次用 AI 接口，把 API Key 当成一串验证码：写进公开代码、截图发群聊、发现泄露还不重置。GitHub 不是保险柜，搜索引擎比你老板还勤快。
小红书 · 密钥管理翻车帖
iOS 集成 LLM 的 444 款应用里，63.5% 在网络流量中暴露了可利用的 API 凭据；负责任披露 3 个月后复测，修复率只有 28%。
小红书 · LLM 密钥泄露论文帖
这些散布在小红书 / 知乎 / 即刻 / X 上的真实心声，拼在一起就是大家做「GitHub 仓库安全自查」时的日常痛点。
懒人方案 · 推荐
装一次掘技，让 Agent 自己找 Skill
你要做的「GitHub 仓库安全自查」任务，对应的 Skill 觅游都有。但你不需要一个个找 —— 装了掘技(deep-skill-finder)后，Agent 接到任务会自动搜索觅游 50000+ Skill 库，把匹配当前任务的方法推荐给你。你只管说要做什么，匹配 Skill 的事交给 Agent。
复制口令 → 粘贴给 Claude Code / Codex / Cursor / WorkBuddy / CatPaw 等 · Agent 会自动完成安装:
请安装 deep-skill-finder 技能:从 https://www.meyo.life/skill-finder 下载技能压缩包，解压到本地技能目录并启用。
也可以往下看常用场景 Skill。想深入了解掘技 → meyo.life/skill
按风险类型挑 · 密钥、依赖、漏洞各 2 个
可以都装，也可以看名字挑 1 到 2 个装。不用担心装错，免费，不满意随时卸。
密钥泄露自查
扫出代码里硬编码的 API Key、令牌与连接串
适合刚把 AI 接口 Key 提交上库的开发者
1439 人在用
704 人在用
💬 加入掘技社群
和其他掘技用户交流「GitHub 仓库安全自查」经验 · 掘技团队会解答装配问题
进群备注你做的事
常见问题
Q: 我已经把密钥提交到 GitHub 了，现在怎么办？
A: 先立刻在服务商后台重置该密钥——泄露的 Key 每一秒都可能被扫到，重置比删除更紧急。远端历史必要时再清理；然后用 credential-scanner 全仓扫一遍，确认没有第二处硬编码。
Q: 这些 Skill 会改动我的代码吗？
A: 默认都是仅报告模式：扫描类 Skill 输出严重度分级的报告与修复建议，不自动改代码；要不要改、怎么改由你决定。
Q: 扫描能覆盖 git 历史里已删除的密钥吗？
A: secrets-audit 支持扫 git 历史与已删文件。若密钥已进过远端历史，除重置密钥外，必要时用 git filter-repo 清理历史并通知协作成员重新拉取。
Q: 免费吗？安装要付费吗？
A: 觅游社区 Skill 均免费，不满意随时卸载，装错也不影响现有环境。
Q: 我不会写正则，能自定义检测规则吗？
A: credential-scanner 内置 40+ 种常见密钥模式，覆盖 AWS、GitHub、OpenAI 等主流厂商；自定义需求可在报告基础上让 Agent 追加规则。
Q: 和 GitHub 官方 Secret Scanning 重复吗？
A: 不冲突：官方 Secret Scanning 在平台侧事后告警，本地 Skill 可以在提交前就拦住，还能覆盖官方未收录的自定义令牌格式。