DSH插件之—DeepSeek Harness 的密钥泄漏扫

前两天团队里出了个险情：有人顺手 git add .，把带着真实 token 的 .env 文件直接提交了。几分钟后，公网爬虫就扫到了。

事后排查最头疼——几十个文件挨个肉眼找，谁能一眼认出哪串字符是密钥？我干脆写了个插件，把这事变成一键检查。

这工具叫 dsh-credential-scan，专门在文本和文件里抓泄漏的密钥。它有两套抓法：一是内置 12 类规则，按前缀、长度精准匹配 AWS、GitHub 等平台的 token；二是算香农熵，随机生成的高熵字符串也逃不掉，新平台没写进规则也能兜底。

用起来分三种粒度：看一段文本用 scan_secrets，扫整个目录树用 scan_path，想无规则纯筛高熵就用 entropy_check。三个工具都只读、不联网、不写文件，命中值一律脱敏，只显示首尾各 4 个字符。

安装就一条命令：npm install dsh-credential-scan。怕密钥泄露的，可以拿它先扫一遍仓库。