기존 항목과 새 유입 구분
큰 저장소에 이미 존재하는 문제를 한 번에 정리하기 어려울 수 있다. Detect-secrets는 현재 탐지한 항목을 기준선으로 관리하면서 그 밖의 새 비밀정보가 들어오는지 확인하는 구조다. 기준선은 기존 문제가 해결됐다는 증명이 아니라 현재 상태를 구분해 관리하는 자료다.
세 가지 작업의 역할
스캔은 현재 코드에서 후보를 찾아 기준선을 만들거나 갱신하는 데 사용한다. 훅은 기준선에 없는 새 항목을 알리는 역할이며, 감사 기능은 기준선의 결과를 사람이 분류하는 데 쓰인다. 탐지 결과 저장과 새 항목 차단, 기존 결과 검토를 각각 구분할 수 있다.
탐지 방식과 결과 검토
정규식과 높은 엔트로피 문자열 검사 등 여러 플러그인과 필터를 사용한다. 필요한 탐지기를 선택하고 결과를 검토해 실제 비밀정보인지 판단하는 흐름이다. 개발 훅 등에 연결할 수 있지만 도구의 보고가 모든 유출 가능성을 완전히 판정하거나 기존 자격 증명을 자동 폐기하는 것은 아니다.
관련 문서
Bandit / Pip-audit / Semgrep / Pre-commit / Lefthook