dsh-secret-scan：DeepSeek Harness 的密钥泄露扫描插件

它是做什么的？

密钥扫描（dsh-secret-scan）是 DeepSeek Harness（DSH）的密钥与敏感信息扫描插件，把「提交前先查一遍」变成一条可执行的检查。它解决的是密钥、令牌、私钥被误提交进代码仓库的问题，让你在提交、发布、开源之前就把不该出现的东西找出来。插件由 feely0208 维护，采用 MIT 协议，属于深鲸网安守护系列中唯一不限地区的通用技能。

核心功能

• 内置 7 条规则引擎：覆盖 PEM 私钥块、AWS AKID、GitHub 令牌、Slack 令牌、Stripe 密钥，以及变量名含 secret/token/password 的高熵字面量，按严重到低级别分级。
• 输出默认打码：报告只保留密钥前后 4 位，证据形如 AKIA、ghp_、secretAccessKey，不落密钥原值，避免扫描结果二次泄露。
• 误报过滤：文档示例值与含 example、dummy 的假密钥自动过滤，只写标签不写正文的格式示意不报，process.env.SECRET 这类引用也不报。
• 退出码即结论：有高置信命中时退出码为 1，可直接挂到 pre-commit 或 CI 流程上做门禁。
• 处置顺序优先于扫描本身：技能正文强调先轮换密钥、再清理代码、最后才决定是否改写历史，因为删代码不会让已泄露的密钥失效。
• 如实列出跳过文件：.pem、.key、.p12 文件本体不被当文本读取，报告会明确标注漏检边界。

怎么使用这个插件？

在 DSH 中启用后，对目标仓库执行扫描即可，默认输出打码；需要看完整密钥时显式加 --reveal，且仅限排障时使用，不要把输出存进文件或贴进聊天。用 --demo 可以查看内置演示样本，用 --list-rules 列出全部规则与依据。扫描命中高置信项时退出码为 1，适合接入提交前检查或持续集成；对配置类的中等级别告警建议逐条看上下文，但不要因为误报多就放弃看报告。

报错怎么排查？

扫描结果为空但怀疑有私钥时，先确认文件形态：.pem、.key、.p12 文件本体不被引擎当文本读取，直接放 server.pem 会漏检，而私钥写成 id_rsa 或贴进代码、文档则能命中，报告里会列出被跳过的文件。若报告出现大量中等级别告警，多为 password=、token= 这类硬编码赋值，需逐条核对上下文，测试用假密钥建议写成含 example 或 dummy 的明显假值以便自动过滤。