TruffleHog

自动化控制 28.8k 2.7k Go 上架 2026-11-09 访问官网 ↗ 在 GitHub 打开

TruffleHog 是最强大的密钥发现、分类、验证和分析工具。在这里，“密钥”指的是一台机器用来向另一台机器验证自身身份的凭证。这包括 API 密钥、数据库密码、私有加密密钥等等…… 发现 Truf...

#安全相关

项目信息

所有者: trufflesecurity
Star: 28.8k
Fork: 2.7k
开源协议: —
主要语言: Go
发布时间: 2016-12-31
最近更新: 2026-11-04

项目更新

v3.99.82026-11-02
v3.99.8 更新： - 新增 Composio API key 检测器，自定义检测器结果现在会填充 SecretParts。 - 扫描稳定性提升：验证环节的 worker 能从检测器 panic 中恢复；7z 归档限制 LZMA/LZMA2 字典大小，遇到被拒绝的条目不再中断，继续扫描后续内容。 - 资源与凭据处理更严谨：Couchbase 集群验证后会正确关闭并遵循 context；Box 凭据改为仅在签发 token 时校验。 - 日志排查体验优化：GitHub、GitLab、S3、Docker 各数据源的调试日志统一整理，单源扫描命令的初始化日志会带上 source 字段；Issue/PR 关闭时的 GitHub 评论报错不再影响扫描。 - 升级 go-git、ftp、go-isatty 等依赖。
v3.99.72026-10-24
本次更新新增了 Fireworks AI API key 与 Infisical service token 两个检测器，并引入 xAI 分析器，能识别更多类型的凭证。同时修复了几处误报与稳定性问题：anypointoauth2 检测器不再把 HTTP 422 响应当作验证成功，7z 与 rar 归档处理中的崩溃也已修复，且会记录恢复后的堆栈便于排查。此外更正了 --include-wikis 帮助文档的笔误，并在 CI 中按摘要固定了 semgrep 镜像。
v3.99.62026-10-24
v3.99.6 取代了构建失败、未能发布的 v3.99.5，包含以下改动：Azure SP 密钥扫描改为优先匹配最近的 client/tenant ID，减少误报；Filesystem 源的日志输出整理为按源开启调试，排查问题更方便。安全方面，andybalholm/brotli 升级到 v1.2.7，修复 CVE-2026-111497。另外修复了发布流程中 GoReleaser 临时文件占用 tmpfs /tmp 的问题。其余为 GitHub Actions 依赖更新。
v3.99.42026-10-22
这版新增了 Lambda Cloud API key 检测器，并为扫描源引入了独立的调试开关，调试日志会自动隐去敏感数据，排查问题更安全。验证被跳过的结果现在会打上标记，便于与已确认的泄露区分开来；GitHub 源在列出评论前会先检查 App 安装授权，避免权限不足时报错。另外顺手升级了 golang.org/x/crypto、x/net、goldmark 等依赖，补上相关安全漏洞。
v3.99.32026-10-19
TruffleHog v3.99.3 更新要点：新增 SonarQube Server 令牌检测器，可识别该平台的 token。修复 GitHub 评论扫描在大仓库上提前中断的问题，当评论列表接口因权限不足被拒时，现在会明确提示缺少哪项权限。GitHub 应用认证改为统一的 app client registry 管理，避免多处注册冲突。GithubOauth2 检测器的凭证轮换改为仅在特定错误信息下触发，减少误轮换。日志方面支持按来源单独覆盖 debug 级别，便于排查单个数据源。依赖层面升级了 gRPC、OpenTelemetry、amqp091-go、go-archive 等多个安全公告相关模块，并将 alpine 基础镜像升至 v3.24，同时补上了 stdin、syslog、travisci 三种数据源的文档。
v3.99.22026-10-08
TruffleHog v3.99.2 是个修补版本：扫描配置里设置的去重缓存大小，之前没有被正确同步进扫描引擎，等于改了配置也不起作用，这版把这条链路补上了。对使用者来说，若你调过 dedupe cache 相关参数，升级后它才会真正生效；未改动过配置的用户基本感知不到差别。
v3.99.12026-10-08
v3.99.1 是一个小版本，主要改动是把结果去重缓存的大小改为可配置（PR #5399）。此前去重缓存使用固定尺寸，在扫描量大或结果高度重复的场景下可能不够灵活，现在可以根据实际需要自行调整，既避免内存浪费，也能提升大批量扫描时的去重效率。另外更新了 GitHub Actions 的依赖版本。完整变更记录见 GitHub。
v3.99.02026-10-06
TruffleHog v3.99.0 更新了两处：一是修复 Sumo Logic 检测器不理会用户配置的验证端点、始终打到默认地址的问题，依赖自建或代理端点做凭证验证的团队现在能正常生效；二是为验证请求新增 OAuth2 密码模式（ROPC）授权方式，此前只能走固定鉴权流程的第三方服务，如今可直接用账号密码换取令牌再验证，减少误报与漏报。
v3.98.12026-10-06
TruffleHog 更新至 v3.98.1。本次新增 Kong Konnect Platform 凭据检测器，可识别该平台的密钥泄露；Gerrit 数据源的 proto 配置新增 apitimeoutseconds 字段，便于自定义请求超时；同时补充了 Postman 数据源的相关文档。整体以小修小补为主，无破坏性变更，建议直接升级。
v3.98.02026-10-05
TruffleHog 这版把重心放在扫描体验与验证准确性上。 S3 扫描现在会显示桶内进度，并且只列出 include 前缀，目录输出清爽了不少；新增 --no-ignore-tag 开关，标了 trufflehog:ignore 的行也能照常上报（重复改动随后被清理）。验证侧：GitLab v2/v3 加入熵值过滤并强化验证逻辑，Square 返回 403 且原因为 INSUFFICIENT_SCOPES 时判为已验证，Auth0 私有云的 auth0app.com 域名与 Okta 的 mil、fedramp 域名匹配也补齐了。修复包括：结果去重缓存的竞态、NetSuite 检测器在高密度输入下耗尽内存、--github-actions 输出未转义特殊字符、portainertoken 里残留的 fmt.Printf，以及 GitHub 访问令牌改回走 apiClient 获取。另新增共享出网守卫 pkg/ssrf，供 WithNoLocalIP 与 analyzer 客户端复用；GitHub、GitLab、Jenkins、Hugging Face 补齐了数据源文档。