github-secret-auditor

GitHub 密钥泄露巡检 Skill

目标

本 Skill 用于让 OpenClaw 通过 ACP 调度 Claude Code，对授权 GitHub 仓库执行密钥泄露巡检、安全修复、验收、推送修复 commit，并通过飞书发送巡检报告。

核心原则：

• OpenClaw 负责任务编排、ACP 调度、仓库准备、验收、commit、push 和飞书报告。
• Claude Code 负责在目标仓库内执行代码级搜索、修复和验证。
• 不允许 OpenClaw 跳过 Claude Code 手工替代巡检或修复。
• 本 Skill 的默认且唯一调度通道是 ACP。不要把 Claude Code CLI 作为本 Skill 的常规降级路径。
• Claude Code 只负责巡检、修改和本地验证；默认禁止 Claude Code 在子会话内执行 git commit、git push、创建 PR 或其他发布动作。commit 与 push 只能由 OpenClaw 在验收通过后执行。

适用场景

当用户提出以下需求时使用本 Skill：

• 巡检某个 GitHub 仓库是否存在 API Key、Token、密码、Webhook URL、私钥等泄露风险。
• 根据仓库实际泄露面自动修复，例如删除误提交凭证、改为环境变量/配置注入、替换为安全占位符或补充忽略规则。
• 只在修复确实需要时更新 .env.example、.gitignore、README 或同类配置说明文件。
• 验收通过后自动推送普通修复 commit 到授权 GitHub 仓库。
• 通过飞书发送巡检报告。
• 通过 ACP 让 OpenClaw 调度 Claude Code 完成代码级任务。

快速启动

给 OpenClaw/龙虾的一句话启动模板见 templates/run_skill_prompt.md。

用户只需提供目标 GitHub 仓库，OpenClaw 必须自动按默认任务流完成巡检、修复、验收、commit、push 和飞书报告。不要要求用户手动复制 session、手动执行 ACP 命令、手动拼接 prompt 或手动验收。

最小用户入口示例：

请使用 github-secret-auditor Skill 全自动巡检并修复 https://github.com/DjangoPeng/agentic-ai.git

OpenClaw 必须先读取本 SKILL.md，再执行默认任务流。后台自动化默认使用 OpenClaw Sessions API：

sessions_spawn(runtime="acp", agentId="claude", mode="run", thread=false, cwd=<repo_path>, prompt=<task_prompt>)
sessions_send(sessionKey=<childSessionKey>, prompt=<contextual_followup_prompt>)

飞书交互演示可使用 /acp ... slash command；后台自动化不要依赖聊天命令，也不要把 /acp ... 当 shell 命令执行。

除非任务失败或用户明确要求调试细节，最终回复只展示巡检结果、修复结果、commit、push 状态、风险摘要和风险备注；不要把 sessions_spawn、sessions_send 参数作为用户需要操作的步骤暴露出来。

用户入口与默认行为

当用户只提供 repo_url 或说“巡检这个仓库”时，OpenClaw 不要反问执行细节，直接使用以下默认值：

{
  "branch": "main",
  "mode": "audit_fix_push_report",
  "allow_auto_fix": true,
  "allow_push": true,
  "runner": "acp_sessions",
  "repo_path": "/srv/openclaw-runner/repos/<repo-name>"
}

只有缺少仓库授权、ACP runtime 不可用、GitHub 权限不足、工作区存在未提交修改或安全边界不明确时，才返回 failed 并说明阻塞原因。

用户面向的完成标准是看到飞书巡检报告和最终结果；OpenClaw 内部负责完整执行以下动作：

读取 Skill -> 准备仓库 -> 生成任务包 -> sessions_spawn 调度 Claude Code -> 等待输出 -> 必要时 sessions_send 补漏 -> 验收 Diff -> commit -> push -> 飞书报告