密钥泄露扫描
Secret Scanner
在粘贴进来的代码、日志或配置里找 API 密钥、令牌和私钥，辅以熵值判断。
密钥会被提交进仓库、粘进 issue、打印进日志，而一旦发生，不管有没有人注意到，它都已经是公开的了。这里读取粘贴的代码、日志转储或配置文件，指出那些看起来像凭据的字符串——先按已知服务商的格式匹配，再对完全没有格式的那些按熵值判断。
你一边打字，这个标签页里的 worker 就一边扫。
没有任何东西离开这个标签页。尤其是，这里找到的密钥不会被送去服务商那边验证它是否还活着——那等于把你源码里的每一份凭据，从你自己的机器上交给第三方，而这正是一个秘密扫描器存在的目的所要防的。离线校验就是在本地做算术：读服务商公开的格式，遇到 GitHub 令牌还会核对 GitHub 埋进去的校验和。结果里只显示打过码的预览，所以这份报告贴进工单是安全的。
怎么用
粘贴文本或拖入文件
任何文本都行——源码、`.env`、CI 日志、配置转储。它在 worker 里运行，所以大段粘贴不会卡住页面。
先看格式匹配
命中已知前缀——`AKIA…`、`ghp_…`、`sk-…`、PEM 块头——几乎可以确定。这些是要最先处理的。
把熵值命中当作候选
一个没有可识别形状的高熵字符串，可能是密钥、哈希、UUID、压缩过的资源文件或者 base64 图片。工具会说明触发的是哪条规则，由你判断。
先轮换，再清理
泄露了的密钥就是泄露了。删掉提交或者编辑日志并不能把它“取消发布”，所以先吊销并重新签发，再收拾历史记录。
常见问题
结果干净就代表没有秘密吗？
不代表，而这正是值得弄清楚的边界。它找的是它认识的模式和看起来随机的字符串。一种低熵的内部密钥格式、一个读起来像单词的密码、或者一条拆在两个变量里的凭据，都会直接漏过去。
它会检查密钥是否仍然有效吗？
它做不到，也不会去做。验证一个密钥意味着拿它去服务商那里试用，这会把你的凭据发给第三方——与这个页面的目的正好相反。一个密钥是否仍在生效，只有它的签发方能告诉你。
我的代码会上传吗？
不会。扫描在你浏览器的 worker 里进行。一个要你交出最可能装着秘密的文件的工具，不应该同时把它发到别处。
我压缩过的打包文件里所有东西都被标记了。
压缩过的输出很密，从构造上就看起来随机，而这正是熵值规则盯着的东西。扫描源码而不是构建产物，或者只用基于格式的规则。
可以从这些接进来
PDF 涂黑效果检验
Redaction Verifier
检查一份看似已经涂黑的 PDF，黑框底下是否还留着能被选中的文字、图片或元数据。
隐形字符清除
Invisible Character Remover
找出并删掉粘贴文本里藏着的零宽空格、BOM、软连字符和双向控制符。
文本脱敏
Text Anonymiser
在自由文本里找出邮箱、银行卡号、IP 地址和韩国格式的身份证号、电话号码、营业执照号，把它们遮蔽或换成假名。
Kubernetes Secret 解码
Kubernetes Secret Decoder
把 Secret 清单里的每个 Base64 值都解出来，改完再编码回去，直接就能 apply。
接下来
这些工具吃得下当前工具的产出，结果可以直接送过去。
.env 文件解析与转换
.env Parser & Converter
解析 .env 文件，并转成 JSON、YAML、shell export、Docker 或 Kubernetes 格式。
熵值测量
Entropy Meter
测量字符串或文件的香农熵并给出字节分布直方图，用来判断哪一段是密钥。
HAR 查看与脱敏
HAR Viewer & Sanitiser
把 HAR 抓包展成瀑布图，并在你分享出去之前先把 Cookie、鉴权头和令牌清掉。
文本脱敏
Text Anonymiser
在自由文本里找出邮箱、银行卡号、IP 地址和韩国格式的身份证号、电话号码、营业执照号，把它们遮蔽或换成假名。
CORS 跨域检测
CORS Tester
从你指定的来源发出浏览器会发的预检请求，再带上同一个 Origin 发一次 GET，并按 Fetch 标准的规则说清究竟是哪个响应头把它挡住了。
CSV 清洗
CSV Cleaner
去掉单元格首尾空白、统一表头、修正数字和日期格式，并报出列数对不上的行。