研发运维可用
密钥泄露扫描
在提交或发布前扫描代码目录，查找疑似 AccessKey / SecretKey、私钥文件头、硬编码 Token、数据库连接串等特征。除工作区外，还能扫描 Git 历史（--git-history）与暂存区（--staged），用于清理已进入历史或即将提交的凭证。输出文件路径、行号与掩码样例，不回显原始值；支持排除目录与指定类别。
安装方式
secret-scanner-skill能力清单
AccessKey / SecretKey / Token 特征识别
私钥文件头与含口令连接串检测
输出位置与掩码样例，不回显原始值
可扫描 Git 历史与暂存区，支持排除目录
规格
适用场景
密钥扫描合规检查
适用角色
研发运维
运行时
零第三方依赖
离线能力
完全离线可用
数据边界
数据不出本地
技能包
secret-scanner-skill安装方式
技能包遵循 Agent Skills 开放标准（一个目录 + 一份 SKILL.md），不需要申请或授权。按你使用的客户端选一条路径装上，之后在对话里直接描述任务即可触发。
② 命令行安装
适合支持 Agent Skills 标准的命令行客户端，一条命令把技能同步到本机技能目录。
$
npx skills add m9ai/m9ai-skills --skill secret-scanner-skill用 -a 指定客户端（如 claude-code、codex）；不带 -a 时会让你选择。
③ 手动解压
也可以直接把 zip 解压到客户端的技能目录，无需执行安装程序。zip 自包含、可离线分发，适合放进内网文件服务器统一部署。
WorkBuddy
设置 → 技能目录（以客户端显示为准）Claude Code（用户级）
~/.claude/skills/Claude Code（项目级）
.claude/skills/其他支持 Agent Skills 标准的客户端同理：把技能目录整个放进它的 skills 目录下即可。
需要接入内部系统或私有化部署？
现成 Skill 覆盖通用场景；涉及内部数据源、私有模型与合规要求时，我们可以按你的环境定制。