---
name: secret_scan
when: '密钥检测, 敏感信息, gitleaks, 安全扫描'
scope: ['*']
products:
  - '*'
id: ka-pattern-secret_scan
asset_kind: pattern
lifecycle_status: active
authority: supporting
routes:
  - '*'
primary_triggers:
  - 密钥检测
  - 敏感信息
  - gitleaks
  - 安全扫描
priority: P2
specificity: 3
version: 1.1.0
last_reviewed: '2026-06-01'
consumes: []
emits: []
secondary_triggers: []
negative_triggers: []
type: pattern
stages: ["*"]
owner_mechanism_id: mc-engine-runtime
---

## 决策规则

- detectSecrets() 使用正则匹配 + gitleaks 回退链检测密钥
- severity=blocked 的密钥（AWS key、API key 等）阻断写入
- 扫描覆盖写入内容的每一行
- gitleaks 不可用时回退到内置正则规则

## 验收项

- [AC-01] 已知密钥格式被检测
- [AC-02] blocked 级别密钥阻断写入
- [AC-03] gitleaks 回退正常工作
- [AC-04] 误报率 < 1%

## 何时使用

密钥泄露是最高风险，必须 hard fail

## 是否 hard block

是。此能力为 enforced 状态，违规即 hard fail 阻断流程。

## 证据要求

- golden set 密钥检测通过
- 误报率测试通过
- 无已知密钥泄露事件

## 人工确认/降级边界

- enforced 能力不可跳过，违反即阻断
- 降级需经 sf_capability_update + 人工确认，提供 escape report 证据
