godaddy/tartufo

tartufo Docker镜像文档

镜像概述和主要用途

tartufo Docker镜像专注于扫描git仓库中的敏感信息（如密钥、令牌等），通过深度遍历提交历史和分支，有效识别意外提交的敏感数据。同时，该镜像支持集成到git pre-commit脚本中，在代码提交前自动检查变更内容，从源头防止敏感信息进入版本控制系统。

核心功能和特性

• 深度仓库扫描：全面遍历git仓库的提交历史、分支及标签，确保覆盖所有历史版本的敏感信息检测。
• 敏感信息识别：精准识别各类密钥、令牌、密码等敏感数据，有效发现意外提交的敏感内容。
• pre-commit集成：可作为git pre-commit钩子脚本使用，在提交前自动检查变更，阻止敏感信息提交。

使用场景和适用范围

• 开发团队安全管理：适用于需要保障代码仓库安全的开发团队，防止敏感信息泄露。
• CI/CD流程集成：可嵌入持续集成/部署流程，作为代码提交或构建前的安全检查环节。
• 本地开发环境：供开发人员在本地使用，通过pre-commit钩子在提交代码前进行敏感信息筛查。

使用方法和配置说明

基本扫描命令

扫描本地git仓库的基本命令：

bash
docker run -v /path/to/your/git/repo:/repo tartufo scan /repo

参数说明：

• -v /path/to/your/git/repo:/repo：将本地git仓库目录挂载到容器内的/repo路径。
• scan /repo：指定对容器内/repo路径下的git仓库执行扫描。

集成到pre-commit钩子

1. 创建或编辑项目的.git/hooks/pre-commit文件，添加以下内容：

bash
#!/bin/sh
# 运行tartufo扫描当前仓库变更
docker run -v $(pwd):/repo tartufo scan /repo
# 若扫描发现敏感信息，阻止提交
if [ $? -ne 0 ]; then
  echo "发现敏感信息，提交已阻止。"
  exit 1
fi

2. 赋予脚本执行权限：

bash
chmod +x .git/hooks/pre-commit

配置后，每次执行git commit时将自动触发扫描，发现敏感信息则终止提交。

注意事项

• 确保挂载的git仓库路径正确，容器需访问完整的git历史记录（包括所有分支和提交）。
• 大型仓库扫描可能耗时较长，可通过--branch或--since-commit等参数限制扫描范围（具体参数可通过docker run tartufo scan --help查看）。