# secrets-scanner

Сканирует изменённые за сессию файлы на утёкшие ключи и пароли перед коммитом. Пригодится, когда агент правит код быстро и легко тащит в него токен.

- хук · `type=hook` · GitHub Copilot · ★ 40418
- Автор: github · официальный репозиторий GitHub
- Лицензия: MIT · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/github/awesome-copilot/tree/HEAD/hooks/secrets-scanner
- Обновлён: 2026-10-23
- HTML: https://affpapa.org/nevibecode/hooks/secrets-scanner

## Что делает

Хук запускается на событии `sessionEnd`, то есть в конце сессии GitHub Copilot coding agent. Он собирает изменённые файлы через `git diff`, отбрасывает бинарники и lock-файлы и прогоняет каждую строку по шаблонам известных секретов: ключи AWS, GCP, Azure, токены GitHub, npm, Slack, Stripe, приватные ключи RSA и OpenSSH, строки подключения к PostgreSQL, MongoDB, MySQL, Redis, MSSQL, JWT и внутренние IP с портами. Всего больше двадцати категорий.

Режим задаётся переменной `SCAN_MODE`: `warn` только пишет находки в лог, `block` завершает работу с ненулевым кодом и не даёт агенту закоммитить. Область сканирования — `SCAN_SCOPE` со значениями `diff` или `staged`. Совпадения, похожие на заглушки вроде `example`, `changeme` или `your_`, пропускаются, а ложные срабатывания можно перечислить в `SECRETS_ALLOWLIST`. Логи пишутся в `logs/copilot/secrets/scan.log` в формате JSON Lines, а сами находки в логе обрезаны, чтобы не светить секрет повторно.

Зависимостей нет: скрипту хватает `grep`, `file` и `git`. Установка ручная — папку копируют в `.github/hooks/`, скрипту выдают право на выполнение, создают каталог логов и добавляют его в `.gitignore`. Если поставить этот хук вместе с Session Auto-Commit, порядок важен: сканер должен идти первым, иначе автокоммит сработает раньше проверки. Для блокировки в такой связке нужен именно `SCAN_MODE=block`.

## Установка

### Claude Code (родная платформа)

**Вручную: положить файлы**
- Файл: `.claude/settings.json` — Блок hooks: событие (PreToolUse, PostToolUse, Stop…) → команда. Личные — ~/.claude/settings.json

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/github/awesome-copilot/tree/HEAD/hooks/secrets-scanner

## Когда брать
- поймать ключ AWS, случайно попавший в изменённый файл
- остановить коммит, пока в коде лежит токен GitHub
- отсеять заглушки и примеры, чтобы не разбирать ложные срабатывания
- получить журнал находок в JSON Lines для аудита
- запретить автокоммит при обнаруженном секрете

## Примеры запросов агенту
- Включи secrets-scanner в режиме block, чтобы агент не коммитил секреты
- Поставь SCAN_SCOPE=staged и проверь только файлы в индексе
- Добавь test_key_123 в SECRETS_ALLOWLIST, это ложное срабатывание

## Похожие
- [env-secrets-manager](https://affpapa.org/nevibecode/skills/env-secrets-manager.md) — скилл · 667 установок

Из того же набора: [github/awesome-copilot](https://affpapa.org/nevibecode/by/github/awesome-copilot.md) — 732 карточки

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md