gitleaks

把生产库的数据拷到测试环境，结果里面全是真实手机号、身份证号和银行卡号；给外包同事导一份订单表做分析，客户姓名地址一个不落；把日志丢给大模型排查问题，顺手把用户隐私也喂了出去——这三件事，几乎每个团队都干过。 数据脱敏（Data Masking）要解决的就是这个矛盾：数据要能用，敏感信息不能露。行业里那句总结很到位——"可用不可见，可见不可识"。但真正落地时，大部分人卡在两个地方：一是不知道用什么工具，二是脱完敏数据废了，测试跑不通、统计结果全歪。 这篇把 6 款免费（开...

“上线前扫一遍安全”这件事，绝大多数中小团队都停留在口头。原因不复杂：商业 SAST 动辄按开发者人头收费，开源工具又分散在四五个仓库里，命令、配置格式、报告格式各不相同，光是把它们串起来就要耗掉一个人两周。于是安全扫描要么彻底不做，要么做成了 CI 里一个永远绿灯、没人看的步骤。 AI 编程助手的出现让这件事的门槛降了一大截——你可以用一句话让它写出 Semgrep 自定义规则、生成 Trivy 的 CI 配置、解释一条 CVE 到底影不影响你。但同样地，AI 在安全领域...