[G6-05] 在素材进入发布包前扫描账号、路径和秘密

[NongHua123]

P0 · Marketing / QA

问题

运行截图和录屏最容易无意带出用户名、绝对路径、API Key、设备名、私人仓库和系统通知。

交付与验收

• 捕获前后扫描用户名、绝对路径、secret 模式、账号、设备名、私人仓库、通知和任务栏信息。
• fixture 注入 canary secret/path，确认扫描能阻止素材进入衍生和发布阶段。
• 被拦截素材进入隔离状态，记录原因；修复必须回到原始环境重拍，不能只在成品上涂黑关键证据。
• 扫描报告不回显完整 secret，也不进入公开素材包。

相关现有 Issue：#21 负责清理当前文档中的真实工作站路径；本 Issue 负责建立以后每批素材都要经过的持续门禁。

[NongHua123]

发布前素材扫描需要留下可复核的门禁证据（复核 2026-08-12）

现有验收方向正确，但扫描表面还需要写得更具体。GitHub Secret Scanning 支持用 custom pattern 覆盖组织自己的 secret 格式，并建议先 dry run 再发布规则；Gitleaks 上游支持扫描 repository、目录/文件和 stdin，也支持将报告中的匹配内容完全 redact。两者都说明一件事：规则、扫描器版本和扫描范围本身也是证据，不能只留一个“扫描通过”的布尔值。

素材发布前建议固定检查六个表面：原始截图/录屏文件、导出的衍生文件、OCR 文本、字幕与 transcript、容器/图片 metadata、随素材一起发布的 Markdown/JSON/manifest。普通 secret scanner 不会自动理解画面像素，所以账号名、绝对路径、设备名、私人仓库、通知和任务栏内容必须经过 OCR 与人工复核；视频至少抽取首尾、每次切换页面、终端出现和系统通知出现的关键帧。压缩包或嵌套素材也不能假设已被扫描——Gitleaks 的 archive/decode 深度需要显式配置。

扫描报告建议记录：scanId、asset/source hash、scanner/version、ruleset hash、canary suite version、扫描表面、开始/结束时间、finding 数量和级别、隔离状态、复核人、允许项及到期日。finding 只保存规则 ID、位置类别和不可逆 fingerprint，不回显完整命中值；允许项必须绑定具体 fingerprint、理由、批准人和期限，不能做全局忽略。

可直接采用的门槛是：固定 canary 集在原图、OCR、字幕、metadata 和导出物上全部命中；任一 canary 漏报、任一未处置的 secret/真实账号/私人路径命中，素材整批进入 quarantined，不得继续生成裁切图或上传。修复要回到 fixture 或捕获环境重拍；只有纯装饰区域且不会破坏证据含义时，才允许从原图生成受控衍生版本。扫描报告本身再接受一次“无原始命中值”检查。

官方/上游来源：

• GitHub custom patterns
• GitHub Push Protection
• Gitleaks 上游仓库

[NongHua123]

v0.4.2 发布对账（2026-08-24）

发布基线：v0.4.2，source SHA d8ab2a2。

结论：只有人工规则，持续门禁未实现，保持 OPEN。

v0.4.2 的视觉/截图文档已有脱敏、版本、hash、证据等级与“概念图不能冒充运行截图”等人工规则，属于前置缓解。

但发布源码没有覆盖原始素材、衍生文件、OCR、字幕、metadata 和 manifest 的扫描流水线；没有 canary secret/path 漏报测试、quarantined 状态、不可逆 finding fingerprint 或“必须回原环境重拍”的自动门禁。仓库搜索只命中无关的运行 job quarantine。

证据等级：exact-source code_audit。处理：保留 OPEN；人工审阅不能替代每批素材的持续扫描验收。

[NongHua123]

2026-08-24 priority review

This Issue remains P0 / OPEN in the dedicated P0｜并行治理门禁 lane.

It is a release-evidence/security governance gate that should progress in parallel without displacing the UCP product mainline. It may close only with its own exact evidence; the existence of v0.4.2 or any Draft PR does not satisfy it.