GitHub Actions で Secretlint の Docker コンテナを実行する方法(誤検知対策としてのルールの追加も)

$ npm install secretlint @secretlint/secretlint-rule-preset-recommend --save-dev

# Dockerコンテナイメージを使う場合、Secretlintのインストールは不要
# `.secretlintrc.json　もイメージに同梱されている
# ルールを追加したい場合、自分で用意する必要があり、その方法は後述
$ docker run -v `pwd`:`pwd` -w `pwd` --rm -it secretlint/secretlint secretlint "**/*"

# Node.jsの場合、以下のコマンドで .secretlintrc.json を生成する必要がある
$ npx secretlint --init
# .secretlintrc.json はsecretlintコマンドを実行するディレクトリに配置する必要がある
$ cat <<EOF > .secretlintrc.json
{
  "rules": [
    {
      "id": "@secretlint/secretlint-rule-preset-recommend"
    }
  ]
}
EOF

# 略
    steps:
      - uses: actions/checkout@v3
        # 変更が入ったファイルのみをsecretlintコマンドの引数に渡すために使う
      - uses: technote-space/get-diff-action@v6
      - name: Run secretlint command on docker
        id: run-secretlint-command
        # GitHub Actions上でdocker runコマンドを実行するために使う
        uses: addnab/docker-run-action@v3
        # with directiveで書くことはdocker runコマンドに渡す引数とほとんど同じ
        with:
          # https://hub.docker.com/r/secretlint/secretlint/tags を参考にタグを指定
          image: secretlint/secretlint:v5.1.1
          options: >
            -v ${{ github.workspace }}:${{ github.workspace }}
            -w=${{ github.workspace }}
            --rm            
          # 変更が入ったファイル名。technote-space/get-diff-action で取得。
          run: secretlint ${{ env.GIT_DIFF_FILTERED }}
          # docker run コマンドで実行する際のカレントディレクトリ配下全てのファイルを対象とする場合
          #run: secretlint "**/*"

$ docker run \
-v `pwd`:`pwd` \ # with directive
-w `pwd` --rm -it \ # 同上
secretlint/secretlint \ # image directive
secretlint ${{ env.GIT_DIFF_FILTERED }} # run directive

{
  "rules": [
    {
      // ↓ 追加したいルールを指定
      "id": "@secretlint/secretlint-rule-preset-recommend",
      "rules": [
        {
          // ↓ 個別に追加したいルールを指定
          "id": "@secretlint/secretlint-rule-aws",
          "options": {
            "allows": [
              // 以下の値はallow（陰性）とする
            　//"wJalrXUtnFEMI/K7MDENG/bPxRfiCYSECRETSKEY" // allowする値を固定値としたい場合
              "/wJalrXUtnFEMI/ig" // RexExp(正規表現)を使った場合
            ]
          }
        }
      ]
    }
  ]
}

{
  "type": "service_account",
  "project_id": "xxxxxxxx",
  "private_key_id": "98ssssssssssssssssssssssssssssssssssss676",
  "private_key": "-----BEGIN PRIVATE 略
}

{
  "rules": [
    {
      "id": "@secretlint/secretlint-rule-preset-recommend",
      "rules": [
        {
          "id": "@secretlint/secretlint-rule-aws",
          "options": {
            "allows": [
              // 以下の値はallow（陰性）とする
              //"wJalrXUtnFEMI/K7MDENG/bPxRfiCYSECRETSKEY" // allowする値を固定値としたい場合
              "/wJalrXUtnFEMI/ig" // RexExp(正規表現)を使った場合
            ]
          }
        },
        {
          // ↓ 追加
          "id": "@secretlint/secretlint-rule-gcp",
          // ↓ @secretlint/secretlint-rule-gcp が吐いた `allowMessageId`
          "allowMessageIds": ["PrivateKeyJSON"]
        },
        {
          // ↓ 追加
          "id": "@secretlint/secretlint-rule-privatekey",
          // ↓ @secretlint/secretlint-rule-gcp が吐いた `allowMessageId`
          "allowMessageIds": ["PrivateKey"]
        }
      ]
    }
  ]
}

error  [<allowMessageIds>]
<検知したルール/プリセット>

# "@secretlint/secretlint-rule-gcp"で指定する "allowMessageIds" は PrivateKeyJSON
error  [PrivateKeyJSON] found GCP Service Account's private key(json): gcp.ng.privatekey.json
@secretlint/secretlint-rule-preset-recommend > @secretlint/secretlint-rule-gcp

# "@secretlint/secretlint-rule-privatekey"で指定する "allowMessageIds" は PrivateKey
error  [PrivateKey] found private key: -----BEGIN PRIVATE 略
略
9+x877\n1BdcHCjWoYHxsnXIEao=\n-----  @secretlint/secretlint-rule-preset-recommend > @secretlint/secretlint-rule-privatekey

# 上述したワークフロー抜粋
        with:
          # https://hub.docker.com/r/secretlint/secretlint/tags
          image: secretlint/secretlint:v5.1.1
          # https://github.com/secretlint/secretlint#using-docker
          options: >
            -v ${{ github.workspace }}:${{ github.workspace }}
            -w=${{ github.workspace }}
            --rm            
          # 変更が入ったファイル名。technote-space/get-diff-action で取得。
          run: secretlint ${{ env.GIT_DIFF_FILTERED }}
          # docker run コマンドで実行する際のカレントディレクトリ配下全てのファイルを対象とする場合
          # カレントディレクトリ配下全てのファイルが Docker コンテナ内にある理由は、 options directive でDockerホストのリポジトリのルートディレクトリをDockerコンテナ間とボリュームを共有することで
          #run: secretlint "**/*"

name: Secretlint
# https://github.com/secretlint/secretlint/issues/166
on: [pull_request]

# secretlint + git diff on Pull Request
# https://github.com/secretlint/secretlint

jobs:
  test:
    name: "Secretlint"
    runs-on: ubuntu-18.04
    steps:
      - uses: actions/checkout@v3
        # 変更が入ったのみをsecretlintコマンドの引数に渡すために git diff をする
      - uses: technote-space/get-diff-action@v6
      - name: Run secretlint command on docker
        id: run-secretlint-command
        # GitHub Actionsで　 docker run コマンドを実効するために使う
        uses: addnab/docker-run-action@v3
        # with directive　で書くことは　docker run　コマンドに渡す引数にあたる
        with:
          # https://hub.docker.com/r/secretlint/secretlint/tags
          image: secretlint/secretlint:v5.1.1
          # https://github.com/secretlint/secretlint#using-docker
          options: >
            -v ${{ github.workspace }}:${{ github.workspace }}
            -w=${{ github.workspace }}
            --rm            
          # 変更が入ったファイル名。technote-space/get-diff-action で取得。
          run: secretlint ${{ env.GIT_DIFF_FILTERED }}
          # docker run コマンドで実行する際のカレントディレクトリ配下全てのファイルを対象とする場合
          # カレントディレクトリ配下全てのファイルが Docker コンテナ内にある理由は、 options directive でDockerホストのリポジトリのルートディレクトリをDockerコンテナ間とボリュームを共有することで
          #run: secretlint "**/*"

secretlint ${{ env.GIT_DIFF_FILTERED }}