YUCTS Tools

敏感信息扫描器（API 密钥、令牌检测）

找出配置文件或日志中的 API 密钥、令牌、私钥、疑似密码的值和电子邮箱，并标出行号与位置。全部在浏览器内处理，不保存也不上传。

  • 在浏览器内处理（不上传）

在粘贴的文本中查找 API 密钥、令牌、私钥、邮箱等。文本只在本页面内处理，不会保存也不会上传。

检测对象

结果不会被保存或上传。本工具基于规则匹配检测，无法找出所有机密，也可能误报无害的字符串。如果出现真实的密钥或令牌，请不要只是删除，务必在签发方撤销或轮换。

扫描结果

找到 11 个可能的项目（风险：高 7、中 2、低 2）。

检测到的位置

  1. #1高AWS 访问密钥 ID第 2 行第 19 个字符
    AKIA…MPLE
  2. #2高AWS 秘密访问密钥第 3 行第 25 个字符
    wJal…EKEY
  3. #3高GitHub 令牌第 4 行第 14 个字符
    ghp_…xxxx
  4. #4高Slack 令牌第 5 行第 17 个字符
    xoxb…xxxx
  5. #5高Stripe 生产环境密钥第 6 行第 19 个字符
    sk_l…0000
  6. #6高Google API 密钥第 7 行第 17 个字符
    AIza…xxxx
  7. #7中疑似密码或密钥的值（DB_PASSWORD）第 8 行第 14 个字符
    Ex…d!
  8. #8中JWT（访问令牌）第 9 行第 23 个字符
    eyJh…xxxx
  9. #9高私钥（PEM）第 10 行第 1 个字符
    -----BEGIN RSA PRIVATE KEY----- …
  10. #10低电子邮箱地址第 14 行第 9 个字符
    ta…om
  11. #11低电话号码第 14 行第 28 个字符
    +8…00

列表中的值只显示一部分（20 个字符及以上显示首尾各 4 个字符，12～19 个字符显示首尾各 2 个，更短的值完全遮盖）。

高亮显示

# 示例配置文件（所有值均为虚构）
AWS_ACCESS_KEY_ID=AKIAIOSFODNN7EXAMPLE#1 AWS 访问密钥 ID
aws_secret_access_key = wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY#2 AWS 秘密访问密钥
GITHUB_TOKEN=ghp_EXAMPLExxxxxxxxxxxxxxxxxxxxxxxxxxxxx#3 GitHub 令牌
SLACK_BOT_TOKEN=xoxb-000000000000-0000000000000-EXAMPLExxxxxxxxxxxxxxxxx#4 Slack 令牌
STRIPE_SECRET_KEY=sk_live_EXAMPLE00000000000000000#5 Stripe 生产环境密钥
GOOGLE_MAPS_KEY=AIzaSyEXAMPLExxxxxxxxxxxxxxxxxxxxxxxxxx#6 Google API 密钥
DB_PASSWORD="Ex4mple-Pa55w0rd!#7 疑似密码或密钥的值（DB_PASSWORD）"
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJzYW1wbGUtdXNlciIsIm5hbWUiOiJFeGFtcGxlIiwiaWF0IjoxNzAwMDAwMDAwfQ.EXAMPLE-signature-xxxxxxxxxxxxxxxxxxxxxxxx#8 JWT（访问令牌）
-----BEGIN RSA PRIVATE KEY-----#9 私钥（PEM）
MIIEowIBAAKCAQEAexampleEXAMPLEexampleEXAMPLEexampleEXAMPLEexample
EXAMPLEexampleEXAMPLEexampleEXAMPLEexampleEXAMPLEexampleEXAMPLE00
-----END RSA PRIVATE KEY-----
# 联系方式: taro@example.com#10 电子邮箱地址 / +81 90-0000-0000#11 电话号码

使用方法

  1. 粘贴要检查的配置文件、日志或代码（默认填入只含虚构值的示例）。
  2. 选择检测对象：密钥和令牌、难以猜测的值、电子邮箱和电话号码。
  3. 在列表中确认行号和类型，需要时复制已遮盖的结果或已替换机密的文本。

常见问题

粘贴的文本会被上传吗？

不会。扫描全部在浏览器内进行，文本和结果不会被保存、上传或记录，也不会向外部服务查询密钥是否有效。

“难以猜测的值”是怎么判断的？

赋给 secret、token、password、api_key 等名称、长度不少于 8 个字符的值，如果每个字符的香农熵达到 3.0 比特以上就会列出。${VAR} 这类变量引用、函数调用和网址会被排除。

发现密钥后该怎么办？

如果是真实的密钥或令牌，只从文本中删除是不够的，因为它可能已被复制、分享或提交。请在签发方撤销并换用新的密钥。

注意事项与限制

  • 你输入的内容只在本页面处理，不会发送到 YUCTS 的服务器。
  • 基于规则匹配检测，格式未知或被拆开的密钥可能漏检，也可能把无害的字符串判为可疑。
  • 不会核实密钥是否真实或仍然有效（不会连接任何外部服务）。
  • 输入的文本和结果不会被保存、上传或记录。

数据来源