TruffleHog Docker 镜像文档

镜像概述和主要用途

TruffleHog 是一款专注于检测泄露凭证的安全工具，v3 版本采用 Go 语言完全重写，具备强大的凭证检测与验证能力。它能够扫描 GitHub、GitLab、文件系统、S3 等多种数据源，通过主动 API 验证机制确保检测结果的准确性，有效帮助用户发现并处理敏感凭证泄露问题。

核心功能和特性

v3 版本关键更新

• 增强的凭证检测：新增超过 600 种凭证检测器，支持对检测到的凭证进行主动 API 验证
• 多源扫描支持：原生集成 GitHub、GitLab、文件系统及 S3 存储的扫描能力

凭证验证机制

对于每个检测到的潜在凭证，TruffleHog 会通过编程方式向其所属的 API 发起验证请求（例如 AWS 凭证会调用 GetCallerIdentity API），确保凭证有效性，大幅降低误报率。

使用场景和适用范围

• 开发团队：扫描代码仓库（Git/GitHub/GitLab），防止提交过程中意外泄露 API 密钥、密码等敏感凭证
• 安全审计：检查文件系统或 S3 存储中的敏感文件，排查凭证泄露风险
• 合规检查：满足数据安全合规要求，定期执行凭证泄露扫描与报告

详细使用方法和配置说明

镜像拉取

bash
# 从 GitHub Container Registry 拉取
docker pull ghcr.io/trufflesecurity/trufflehog:latest

# 从 Docker Hub 拉取
docker pull trufflesecurity/trufflehog:latest

Docker 运行示例

普通用户

bash
docker run -it -v "$PWD:/pwd" ghcr.io/trufflesecurity/trufflehog:latest github --repo [***] --debug

参数说明：

• -it: 启用交互式终端
• -v "$PWD:/pwd": 挂载当前目录到容器内 /pwd（用于文件系统扫描）
• github --repo: 指定扫描的 GitHub 仓库地址
• --debug: 启用调试模式

Apple M1 用户

建议指定 linux/arm64 平台以获得更好性能：

bash
docker run --platform linux/arm64 -it -v "$PWD:/pwd" ghcr.io/trufflesecurity/trufflehog:latest github --repo [***]

子命令与参数说明

TruffleHog 通过子命令区分不同数据源，使用 -h 可查看具体子命令的帮助信息：

主要子命令

• git: 扫描 Git 仓库
• github: 扫描 GitHub 仓库
• gitlab: 扫描 GitLab 仓库
• filesystem: 扫描文件系统
• s3: 扫描 S3 存储

常用参数

使用示例

bash
# 扫描 Git 仓库
docker run --rm ghcr.io/trufflesecurity/trufflehog:latest git [***]

# 扫描本地文件系统
docker run --rm -v "$PWD:/scan" ghcr.io/trufflesecurity/trufflehog:latest filesystem /scan

# 查看子命令帮助
docker run --rm ghcr.io/trufflesecurity/trufflehog:latest git --help

相关资源

• 项目 GitHub 仓库
• Docker Hub 镜像页面
• Slack 社区

许可协议

TruffleHog v3 采用 AGPL 3.0 许可协议，详情参见 LICENSE。