跳到主要内容

Git 安全工具

介绍​

在软件开发过程中，Git是最常用的版本控制系统之一。然而，随着代码库的规模扩大和团队协作的增加，安全问题也变得越来越重要。Git安全工具可以帮助你检测和修复潜在的安全漏洞，确保代码库的安全性。

本文将介绍几种常见的Git安全工具，并通过实际案例展示如何使用这些工具来保护你的代码库。

常见的Git安全工具​

1. Git Secrets​

Git Secrets 是一个由AWS开发的开源工具，用于防止将敏感信息（如API密钥、密码等）提交到Git仓库中。它通过预提交钩子（pre-commit hook）来扫描提交的内容，并在发现敏感信息时阻止提交。

安装Git Secrets​

bash
brew install git-secrets

使用Git Secrets​

首先，你需要将Git Secrets添加到你的Git仓库中：

bash
git secrets --install

然后，你可以添加自定义的正则表达式来检测敏感信息：

bash
git secrets --add '.*API_KEY.*'

当你尝试提交包含敏感信息的文件时，Git Secrets会阻止提交并显示警告信息。

bash
$ git commit -m "Add API key"
README.md:1:API_KEY=1234567890abcdef

[ERROR] Matched one or more prohibited patterns

Possible mitigations:
- Mark false positives as allowed using: git config --add secrets.allowed ...

2. Gitleaks​

Gitleaks 是另一个用于检测Git仓库中敏感信息的工具。它支持多种文件格式，并且可以通过配置文件自定义检测规则。

安装Gitleaks​

bash
brew install gitleaks

使用Gitleaks​

你可以通过以下命令扫描整个仓库：

bash
gitleaks detect --source .

Gitleaks会输出检测到的敏感信息及其位置。

bash
$ gitleaks detect --source .
{
  "Description": "AWS Access Key",
  "StartLine": 10,
  "EndLine": 10,
  "StartColumn": 1,
  "EndColumn": 20,
  "Match": "AWS_ACCESS_KEY=1234567890abcdef"
}

3. GitGuardian​

GitGuardian 是一个商业工具，提供更高级的敏感信息检测和监控功能。它可以集成到CI/CD管道中，并在发现敏感信息时发送警报。

使用GitGuardian​

GitGuardian 提供了一个命令行工具 ggshield，你可以通过以下命令安装：

bash
pip install ggshield

然后，你可以使用 ggshield 扫描你的仓库：

bash
ggshield scan path/to/your/repo

GitGuardian 还提供了Web界面，方便你查看和管理检测到的敏感信息。

实际案例​

假设你正在开发一个Web应用程序，并在代码中使用了AWS的API密钥。你希望确保这些密钥不会被意外提交到Git仓库中。

步骤1：安装Git Secrets​

首先，你安装了Git Secrets并将其添加到你的仓库中。

bash
brew install git-secrets
git secrets --install
git secrets --add '.*AWS_ACCESS_KEY.*'

步骤2：尝试提交包含敏感信息的文件​

当你尝试提交包含AWS API密钥的文件时，Git Secrets会阻止提交并显示警告信息。

bash
$ git commit -m "Add AWS credentials"
config.py:5:AWS_ACCESS_KEY=1234567890abcdef

[ERROR] Matched one or more prohibited patterns

Possible mitigations:
- Mark false positives as allowed using: git config --add secrets.allowed ...

步骤3：修复问题​

你意识到不应该将API密钥硬编码在代码中，于是将其移动到环境变量中，并更新了代码。

python
import os

aws_access_key = os.getenv('AWS_ACCESS_KEY')

步骤4：重新提交​

现在，当你再次尝试提交时，Git Secrets不再阻止提交。

bash
$ git commit -m "Move AWS credentials to environment variables"
[main 1234567] Move AWS credentials to environment variables
 1 file changed, 2 insertions(+), 1 deletion(-)

总结​

Git安全工具是保护代码库免受敏感信息泄露的重要工具。通过使用Git Secrets、Gitleaks和GitGuardian等工具，你可以有效地检测和防止敏感信息被提交到Git仓库中。

在实际开发中，建议将Git安全工具集成到你的开发流程中，例如通过预提交钩子或CI/CD管道，以确保每次提交都经过安全检查。

附加资源​

练习​

  1. 在你的本地Git仓库中安装Git Secrets，并尝试提交包含敏感信息的文件，观察Git Secrets的行为。
  2. 使用Gitleaks扫描一个现有的Git仓库，查看是否有敏感信息被泄露。
  3. 探索GitGuardian的Web界面，了解其提供的更多功能。