开发者工具
•
~4 分钟阅读
常见JSON语法错误分析与修复：符合RFC 8259规范的技术指南 | GoToolstack
排查并修复JSON多余尾随逗号、单引号及未加引号的键名。掌握64位大整数BigInt精度保护与规范格式化技巧。
.env环境配置文件安全合规审计器
扫描.env文件排查弱密码、明文敏感密钥泄露风险与格式语法错误
工作原理
1
输入或粘贴文本
将待处理的文字、代码或数据直接输入工作区。
2
应用格式化或转换
运行工具执行清洗、转换、筛选或统计分析。
3
一键复制结果
单击将排版规整的输出内容复制到剪贴板。
深度技术指南与知识库
ENV 安全审计与凭据泄露扫描器：香农信息熵与密钥特征排查
.env 安全审计与敏感机密扫描工具为安全工程师、DevOps 及软件架构师提供针对项目配置文件的自动化风险筛查。工具结合已知平台凭据指纹库（涵盖 AWS Access Key、GitHub PAT、Stripe 秘钥、OpenAI 授权码、RSA 私钥等数十种公有云签名特征）与香农信息熵（Shannon Entropy）数学检测算法，瞬间揪出意外暴露在代码库中的高危硬编码机密。
开发团队在将项目代码推送至 GitHub 开源仓库前，对根目录下的 .env 文件执行合规例行体检。扫描引擎立即检测出 3 处严重安全隐患：包括一条特征前缀为 AKIA... 的 AWS 访问密钥、一段明文存放的 Stripe 生产环境私钥（sk_live_...），以及一个信息熵高达 4.82 bits/symbol 的高随机度数据库超级管理员密码，并在下方给出将明文迁移至密钥管理服务（KMS）的处置指引。
所有扫描匹配与信息熵计算完全在浏览器前端本地完成，待检测的配置文件源码绝不会经由网络回传，杜绝了“因使用在线扫描工具反而引发密钥泄露”的二次安全事故。
计算公式与底层原理推导
香农信息熵 H(X) = - ∑ P(x_i) × log2(P(x_i)) ；密钥判定阈值: H(X) ≥ 3.5 bits/char 且字符串长度 ≥ 16
统计字符串中各字符出现的概率分布计算其随机熵值，真实业务密码或高强度 API Token 往往具有极高信息熵；搭配数十种主流云厂商特征正则构建双重研判矩阵。
最佳实践与工程实战指南
- 在持续集成（CI/CD）流水线中配置自动化的防泄密门禁：在提交代码前使用 pre-commit 钩子或流水线脚本自动拦截包含真实密钥的提交，防止秘钥永久固化在 Git 提交历史中。
- 一旦凭据发生外泄必须立即在对应平台吊销失效：仅仅从代码中删除敏感行或重写 Git 历史并不能保证安全，黑客爬虫可在数秒内抓取公开提交，必须第一时间登录云厂商控制台作废旧密钥。
- 生产环境秘钥优先交由专用密钥管理系统（KMS）托管：避免以平面文本形式直接将生产密码保存于宿主机，推荐借助 HashiCorp Vault、AWS Secrets Manager 或 Kubernetes Secrets 进行动态注入。
- 利用最小权限原则（PoLP）配置第三方 API 令牌权限：为项目分发的各种 Token 仅授予完成当前业务所需的最小接口范围与 IP 访问白名单，最大程度降低泄密后的爆炸半径。
常见问题解答 (FAQ)
什么是“香农信息熵”，它如何用来发现隐藏的密码？
信息熵是物理学与信息论中衡量数据无序度与随机性的指标。普通的英文单词或短语包含固定的语法规律，熵值较低；而由密码学生成器生成的强随机字符串具有极高的无序度（高熵值），通过计算熵值可以敏锐识别出无特定前缀特征的暗藏密码。
如果我不小心把密钥提交到了 GitHub 公开仓库，马上删掉 Commit 有用吗？
用处不大。全网存在大量的自动化暗网扫描机器人 24 小时监听 GitHub 公共事件流，新提交暴露只需几秒就会被自动抓取存盘。唯一安全的补救手段是立即在服务商后台废除该密钥并更换新凭据。
工具是否能检测出弱口令（如 123456 或 password）？
可以。工具除了高熵算法外，还内置了常见默认弱口令黑名单字典，如果发现变量被赋值为 admin、root、123456 等极易被爆破的字符串，会给出中高危安全风险警告。
把包含线上机密的配置文件粘贴到这里检测真的不会外泄吗？
请完全放心。本工具的代码逻辑全部编译为本地静态 JavaScript，运行时不发起任何远程网络通信（您可打开浏览器 F12 网络面板核验），完全支持断网离线安全使用。