trufflesecurity/trufflehog

这是什么？

核心功能

• 01支持扫描 Git、GitHub、GitLab、S3、GCS、Docker 镜像、文件系统、Postman、Jenkins 等来源
• 02可识别 800 多种凭证类型并标明所属服务
• 03通过对应 API 验证凭证是否仍然有效
• 04对约 20 种常见凭证进行深入分析，查看其权限和可访问资源
• 05支持纯文本、JSON、SARIF 输出，并可接入 GitHub Actions 和 pre-commit 钩子

适用场景

• 扫描 Git 仓库和 Pull Request，在凭证泄露前发现误提交的密钥
• 检查 S3 或 GCS 存储桶中配置或数据文件里的凭证
• 在 CI 流水线中借助 --fail 参数阻止包含凭证的提交
• 审计 Docker 镜像或 Postman 工作区中嵌入的凭证

快速上手

1. 1

   在 macOS 上用 Homebrew 安装

   brew install trufflehog
2. 2

   仅扫描仓库中已验证的密钥

   trufflehog git https://github.com/trufflesecurity/test_keys --results=verified
3. 3

   仅扫描 GitHub 组织中已验证的密钥

   trufflehog github --org=trufflesecurity --results=verified

使用前须知

• !采用 AGPL-3.0 许可证，这是一种 Copyleft 许可证，可能限制你在闭源商业产品中的使用方式。
• !部分高级功能（如 github-experimental 的对象发现）处于 alpha 阶段，可能发生变化。

标签

常见问题

trufflehog 是什么？

扫描 Git、云存储、聊天工具等来源中泄露的凭证，并验证其是否仍然有效。 TruffleHog 可以在 Git 仓库、聊天和 Wiki 平台、日志、对象存储、文件系统和 Docker 镜像等位置中发现 API 密钥、数据库密码、私钥等凭证。它能识别 800 多种凭证类型，并标明对应的服务，例如判断一个字符串是 AWS 还是 Stripe 密钥。

trufflehog 可以免费使用吗？用的什么许可证？

trufflehog 以 AGPL-3.0 许可证开源。用于商业产品前，请先确认许可证条款。

trufflehog 还在维护吗？

活跃维护中。trufflehog 最近一次提交是在 2026年10月19日。

trufflehog 适合用来做什么？

扫描 Git 仓库和 Pull Request，在凭证泄露前发现误提交的密钥 检查 S3 或 GCS 存储桶中配置或数据文件里的凭证 在 CI 流水线中借助 --fail 参数阻止包含凭证的提交 审计 Docker 镜像或 Postman 工作区中嵌入的凭证

trufflehog 怎么安装和运行？

在 macOS 上用 Homebrew 安装: brew install trufflehog 仅扫描仓库中已验证的密钥: trufflehog git https://github.com/trufflesecurity/test_keys --results=verified 仅扫描 GitHub 组织中已验证的密钥: trufflehog github --org=trufflesecurity --results=verified

在哪里获取 trufflehog？

源代码和安装说明在 GitHub 上：https://github.com/trufflesecurity/trufflehog