aquasecurity/trivy

fix: scan `.git/config` for secrets

開放

#6,699 建立於 2024年5月16日

在 GitHub 查看貢獻者指南
 (2 則留言) (5 個反應) (1 位負責人)Go (371 個分叉)batch import
help wantedscan/secret

倉庫指標

星標
 (35,000 顆星)
PR 合併指標
 (PR 指標待抓取)

描述

Description

Trivy currently skips **/.git for efficiency. https://github.com/aquasecurity/trivy/blob/88702cfd5918b093defc5b5580f7cbf16f5f2417/pkg/fanal/walker/walk.go#L18

However, .git/config could sometimes include credentials (see https://github.com/aquasecurity/trivy/pull/5180#discussion_r1601445169). These directories shouldn't be skipped.

貢獻者指南

研究方向
調查 pkg/fanal/walker/walk.go 中的 walker 程式碼，將 .git/config 納入掃描範圍，同時仍然跳過其他 .git 目錄/檔案以提高效率。
技術棧
go
領域
securitybackend
議題類型
錯誤
難度面向新貢獻者的預計實作難度，1 表示很小改動，5 表示專家級工作。
2
預計時間有經驗貢獻者完成調查、實作、測試並準備 pull request 的粗略時間範圍。
1-3 小時
活動狀態議題目前的可參與程度：新鮮、活躍、陳舊、阻塞或等待維護者輸入。
活躍
清晰度議題是否清楚說明預期改動、驗收標準和下一步。
清晰
前置要求
GitGo
新手友善度1-100 的估計分數，表示該議題對首次貢獻者的友善程度。
75