feat(git): add secret scanner tooling

Author: DennySORA

CHANGELOG.md

@@ -7,12 +7,17 @@ and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0
 
 ## [Unreleased]
 
+### Added
+- Added a Git secret scanner that installs and runs Gitleaks, TruffleHog, and Git-Secrets in strict mode.
+- Git worktree scans now only include tracked, non-ignored files and print raw logs per scan.
+
 ### Fixed
 - Improved MCP list parsing to detect Gemini CLI entries with checkmarks and ANSI colors.
 - Added Gemini MCP settings migration to remove invalid `type` fields and map HTTP URLs.
 - Removed invalid `--env` option when adding Context7 MCP via Codex CLI.
 - Write Context7 HTTP headers into Codex config when a build-time API key is available.
 - Write GitHub MCP env values into Codex config when build-time credentials are available.
+- Added GitHub release fallback installs for Gitleaks and TruffleHog when package managers are missing packages.
 
 ## [0.1.0] - 2025-12-23
 

README.md

@@ -37,6 +37,15 @@ Manages MCP servers for Claude, Codex, and Gemini CLI:
 
 For Codex MCP installs, build-time values for `CONTEXT7_API_KEY`, `GITHUB_PERSONAL_ACCESS_TOKEN`, and `GITHUB_HOST` are written into `~/.codex/config.toml`, so runtime env vars aren't required.
 
+### 4. Git Secret Scanner
+Quickly installs and runs strict scans against the current Git repo:
+- `gitleaks` (history + working tree)
+- `trufflehog` (history + working tree)
+- `git-secrets` (history + working tree)
+
+Auto-install tries common package managers and `go install`, then falls back to GitHub releases (requires `curl`/`wget` and `tar`/`unzip`).
+Working tree scans only include Git-tracked files and skip anything ignored by `.gitignore`, with raw logs printed per scan.
+
 ## Installation
 
 ### via Install Script (Recommended - Linux/macOS)
@@ -79,7 +88,9 @@ cargo run
 Select a function from the menu:
 1. Clean Terraform/Terragrunt cache files
 2. Upgrade AI code assistant tools
-3. Manage MCP tools (Claude/Codex/Gemini)
+3. Upgrade Rust projects and toolchain
+4. Git secret scan (Gitleaks/TruffleHog/Git-Secrets)
+5. Manage MCP tools (Claude/Codex/Gemini)
 
 ## Contributing
 

docs/README_ja.md

@@ -37,6 +37,15 @@ Claude、Codex、Gemini CLI 用の MCP サーバーを管理します：
 
 Codex の MCP インストールでは、`CONTEXT7_API_KEY`、`GITHUB_PERSONAL_ACCESS_TOKEN`、`GITHUB_HOST` のビルド時の値を `~/.codex/config.toml` に書き込むため、実行時の環境変数は不要です。
 
+### 4. Git シークレットスキャナー
+現在の Git リポジトリを厳格モードで素早くスキャンします：
+- `gitleaks`（Git 履歴 + ワーキングツリー）
+- `trufflehog`（Git 履歴 + ワーキングツリー）
+- `git-secrets`（Git 履歴 + ワーキングツリー）
+
+自動インストールは一般的なパッケージマネージャーと `go install` を優先し、見つからない場合は GitHub Release から取得します（`curl`/`wget` と `tar`/`unzip` が必要です）。
+ワーキングツリーのスキャンは Git で追跡済みかつ `.gitignore` で除外されていないファイルのみ対象で、各スキャンの生ログを出力します。
+
 ## インストール
 
 ### インストールスクリプト経由 (推奨 - Linux/macOS)
@@ -79,7 +88,9 @@ cargo run
 機能メニューを選択してください：
 1. Terraform/Terragrunt キャッシュファイルのクリーニング
 2. AI コードアシスタントツールのアップグレード
-3. MCP ツールの管理 (Claude/Codex/Gemini)
+3. Rust プロジェクトとツールチェーンのアップグレード
+4. Git シークレットスキャン (Gitleaks/TruffleHog/Git-Secrets)
+5. MCP ツールの管理 (Claude/Codex/Gemini)
 
 ## 貢献
 

docs/README_zh-CN.md

@@ -37,6 +37,15 @@
 
 对于 Codex MCP 安装，`CONTEXT7_API_KEY`、`GITHUB_PERSONAL_ACCESS_TOKEN`、`GITHUB_HOST` 的编译期值会写入 `~/.codex/config.toml`，运行时不需环境变量。
 
+### 4. Git 机密扫描
+快速安装并以严格模式扫描当前 Git 项目：
+- `gitleaks`（Git 历史 + 工作树）
+- `trufflehog`（Git 历史 + 工作树）
+- `git-secrets`（Git 历史 + 工作树）
+
+自动安装会先尝试常见包管理器与 `go install`，若找不到包则改用 GitHub Release（需要 `curl`/`wget` 和 `tar`/`unzip`）。
+工作树扫描仅包含 Git 已追踪且未被 `.gitignore` 排除的文件，并会输出每次扫描的原始 log。
+
 ## 安装
 
 ### 通过安装脚本 (推荐 - Linux/macOS)
@@ -79,7 +88,9 @@ cargo run
 选择功能菜单：
 1. 清理 Terraform/Terragrunt 缓存文件
 2. 升级 AI 代码助手工具
-3. 管理 MCP 工具（Claude/Codex/Gemini）
+3. 升级 Rust 项目与工具链
+4. Git 机密扫描（Gitleaks/TruffleHog/Git-Secrets）
+5. 管理 MCP 工具（Claude/Codex/Gemini）
 
 ## 贡献
 

docs/README_zh-TW.md

@@ -37,6 +37,15 @@
 
 對 Codex MCP 安裝，`CONTEXT7_API_KEY`、`GITHUB_PERSONAL_ACCESS_TOKEN`、`GITHUB_HOST` 的編譯期值會寫入 `~/.codex/config.toml`，執行時不需環境變數。
 
+### 4. Git 機密掃描
+快速安裝並以嚴格模式掃描目前的 Git 專案：
+- `gitleaks`（Git 歷史 + 工作樹）
+- `trufflehog`（Git 歷史 + 工作樹）
+- `git-secrets`（Git 歷史 + 工作樹）
+
+自動安裝會先嘗試常見套件管理與 `go install`，若找不到套件則改用 GitHub Release（需 `curl`/`wget` 與 `tar`/`unzip`）。
+工作樹掃描僅包含 Git 已追蹤且未被 `.gitignore` 排除的檔案，並會輸出每次掃描的原始 log。
+
 ## 安裝
 
 ### 透過安裝腳本 (推薦 - Linux/macOS)
@@ -79,7 +88,9 @@ cargo run
 選擇功能選單：
 1. 清理 Terraform/Terragrunt 快取檔案
 2. 升級 AI 程式碼助手工具
-3. 管理 MCP 工具（Claude/Codex/Gemini）
+3. 升級 Rust 專案與工具鏈
+4. Git 機密掃描（Gitleaks/TruffleHog/Git-Secrets）
+5. 管理 MCP 工具（Claude/Codex/Gemini）
 
 ## 貢獻