发现访问密钥写进了配置文件，删掉后提交了一次。安全扫描仍然报警，git log -S 一搜，三条历史提交里都带着完整的 key。日志里能对上时间点，这种反而好排。
删除只是在新提交里去掉这行，旧提交的对象还在历史里，任何人 clone 都能翻到。密钥一旦进过远端仓库，就应该当作已经泄露处理。这一点先确认清楚，后面就不用反复试。
git log -S 'AKIA' --oneline --all git filter-repo --replace-text secrets.txt git push --force --all && git push --force --tags
「历史密钥残留」确认了原因之后，改动尽量只碰那一处，顺手改的东西后面最容易出问题。能分两步做的操作就别合成一步，中间看一眼返回值，出问题好判断。
报错里带路径的，先去看那个路径在不在、权限对不对。同一份配置存在多处的，先确认改的是被加载的那一份。
处理上按这个顺序：git log -S 关键词 --all 找出涉及的所有提交；先去云平台禁用并轮换这把密钥 这一步不能省；用 git filter-repo --replace-text 批量替换历史里的密钥；强推并让所有人重新 clone；加 pre-commit 密钥扫描 挡住下一次。
结果对不对很好判断，git log -S 搜不到旧 key 新克隆里配置文件只有占位符。