leak攻略：工具怎么选
leak攻略不是把工具名字背一遍，而是搞清楚你要抓哪种泄漏：代码里的密钥、程序里的内存、接口里的越权字段，处理方式完全不同。下面用真实问题拆开讲，少走弯路。
Q：Gitleaks、TruffleHog、GitHub扫描，谁更适合日常？
日常开发我更偏向 Gitleaks。原因很朴素：快、轻、规则好改，适合塞进 pre-commit 和 CI。它的强项是“阻止你把秘密推上去”，而不是事后考古。
TruffleHog像放大镜，适合历史仓库清理，能深挖提交记录，甚至验证部分凭证是否还活着。GitHub扫描最省心，适合已经托管在 GitHub 的团队。三者对比：日常拦截选 Gitleaks，历史排雷选 TruffleHog，平台兜底开 GitHub。
Q：内存 leak 攻略里，先看曲线还是先看代码？
先看曲线。别一上来就肉眼读代码，十有八九会被业务分支带跑。压测一段固定流量，记录启动后、峰值、GC后、空闲10分钟后的内存。如果 GC 后的低点持续上移，才像 leak。
工具对比也很清楚：Go 用 pprof 定位对象增长；Node 用 Heap Snapshot 对比两次快照；Java 用 VisualVM 看类实例数量。别只盯最大占用，峰值高不等于泄漏，回不去才麻烦。
Q：接口 leak 和权限漏洞有什么区别？
接口 leak 更偏“多给了数据”。用户能访问这个接口没问题，但返回里夹带了不该看的字段，比如内部备注、供应商成本、完整手机号。权限漏洞则是“本来不该访问，却能访问”。
排查方式不同。权限漏洞要测角色边界；接口 leak 要测字段边界。我常用的办法是准备两套账号：普通用户和管理员。调用同一个接口，把 JSON 结果用 diff 工具比一遍，看到 adminOnly、cost、id_card 这类字段就重点追。
Q：日志 leak 用正则扫靠谱吗？
靠谱，但别指望一次扫干净。正则适合抓明显模式，比如手机号、邮箱、JWT、AccessKey。问题是很多敏感信息没有固定格式，例如内部备注、用户画像标签、风控原因。
所以日志 leak 攻略更推荐“正则 + 代码规则 + 采样复查”。正则扫历史日志，Semgrep扫新增代码，线上抽样看真实日志。三层配合，比只买一个日志平台更实在。
Q：团队里怎么把 leak 检测落地？
别搞成安全同学一个人的 KPI。最容易落地的方式是把规则前移：提交前扫密钥，合并时跑静态规则，发版前做接口字段抽检。每一层只拦自己最擅长的东西。
也别第一次就把门槛拉满。可以先设“提醒不阻断”，观察两周误报；再把高危项改成强制阻断。团队接受度会高很多，不会一上线就被骂“又卡我发布”。
推荐阅读
常见问题
leak攻略里最容易忽略什么？
最容易忽略日志。代码仓库有人扫，接口有人测，但日志常被当成内部东西，结果 token、手机号、请求头全在里面。
扫描工具误报很多怎么办？
先把规则分级。高置信度规则直接阻断，低置信度只提醒；对误报样本做白名单，不要一刀切关闭整条规则。
历史仓库发现密钥 leak 该怎么处理？
先吊销或轮换密钥，再清理仓库历史，最后查访问日志。只删除提交不够，泄漏过的密钥默认已经不可信。