使用 GitLab Secret Push Protection 防止源代码中的秘密泄露
内容提要
GitLab推出了Secret Push Protection功能，可以阻止将密钥和API令牌等秘密信息推送到GitLab。该功能检查每个提交的内容，如果检测到任何高风险的秘密信息，则阻止推送。GitLab建议与Pipeline Secret Detection一起使用以获得最大的覆盖范围。该功能可以在项目级别启用，并提供审计事件以跟踪其使用情况。GitLab已在自己的项目中实施了Secret Push Protection，并欢迎反馈以进一步改进该功能。
延伸解读
推送保护与管道检测的互补关系
Secret Push Protection在推送时检查每个提交，阻止高风险秘密进入仓库；而Pipeline Secret Detection在推送后扫描已提交文件，识别已泄露的秘密。两者结合可最大化覆盖范围，因为推送保护为优化性能排除了一些因素，管道检测能弥补这些遗漏。这种分层方法有助于在软件开发生命周期中更全面地发现泄露秘密。
跳过机制与审计事件的管理价值
开发者可通过Git选项或提交信息跳过Secret Push Protection，例如提交测试用的占位秘密。但跳过可能带来风险，因此GitLab引入了审计事件，记录实例级和项目级的启用/禁用以及跳过操作。管理员和安全团队可利用这些事件了解功能使用情况，识别频繁绕过的项目或常见被跳过的秘密，从而优化策略或调整排除列表。
从Beta到正式版的演进路径
Secret Push Protection目前处于Beta阶段，在GitLab.com和GitLab Dedicated上可用。GitLab通过内部“吃狗粮”在关键项目中启用该功能，以早期发现并解决问题，增强对稳定性、性能和客户工作流的信心。用户可通过反馈问题帮助改进功能，未来将向自托管客户提供正式版。
Q&A
GitLab的Secret Push Protection功能有什么作用？
Secret Push Protection功能可以阻止密钥和API令牌等秘密信息被推送到GitLab，从而防止泄露。
如何启用GitLab的Secret Push Protection？
在GitLab Dedicated上，需在实例中允许使用Secret Push Protection，并在项目中启用；在GitLab.com上，只需在项目中启用即可。
Secret Push Protection如何提高安全性？
通过在代码推送前检查提交内容，Secret Push Protection可以有效阻止高风险秘密信息的泄露，从而降低数据泄露的风险。
使用Secret Push Protection有什么潜在风险？
如果不当禁用或跳过Secret Push Protection，可能导致秘密泄露，从而引发数据泄露和服务中断等问题。
Secret Push Protection与Pipeline Secret Detection有什么关系？
Secret Push Protection可以与Pipeline Secret Detection结合使用，以最大化覆盖范围，提前检测和防止秘密泄露。
如何反馈Secret Push Protection的使用体验？
用户可以通过GitLab的Secret Push Protection反馈问题页面提交反馈，以帮助改进该功能。
