适用场景01-CICD安全.md讲的是"怎么在 CI 流水线里配置 gitleaks 做增量扫描"（新 commit 触发检查）。本文讲的是另一个场景：对一个已经存在的仓库做一次性的历史审计——比如接手一个老仓库、要把私有仓库开源、或者单纯想确认"这个仓库的提交记录里有没有敏感信息"。两者互补，不重复。一、审计前必须确认：本地克隆是否与远程同步这是最容易踩的坑，也是本文最重要的一条：本地git log看到的 commit 数量，不代表远程仓库的真实 commit 数量。如果本地克隆是很久以前拉的、之后没git pull，本地看到的历史是不完整的——扫描出"干净"的结论完全没有意义，因为你根本没扫到后面新增的那些 commit。审计前先确认同步状态：cdrepogitfetch origin# 对比本地 HEAD 和远程