【免费下载链接】keyFinderPassive API key and secret discovery browser extension for Chrome and Firefox. 80 detection patterns, zero config.项目地址https://gitcode.com/gh_mirrors/ke/keyFinder点击查看免费下载KeyFinder 是一款面向 Chrome 和 Firefox 的被动式 API 密钥泄漏检测浏览器扩展安装后它在后台静默运行扫描你访问的每一个页面把误写在前端代码里的 API key、Token、凭据等敏感信息一网打尽。它内置 80 种密钥检测模式、零配置即用无需任何命令行操作。无论你是安全工程师、开发者还是关心隐私的普通用户这篇文章都会带你从原理到上手一次讲清楚如何用 KeyFinder 揪出网页中隐蔽的密钥泄漏。一、密钥为什么会泄漏到网页里API key 和 Token 是现代 Web 应用的家底而它们暴露到前端的方式远比想象中普遍内联脚本开发者把 key 直接粘进script标签里随页面公开下发URL 参数Token 出现在查询字符串中被收藏、转发或写进日志HTML 注释一段先注释掉、回头再删的密钥从此再没人记得浏览器存储localStorage / sessionStorage 里存着长效凭证接口响应后端图省事把内部凭据一并返回给前端人工逐页排查一个站点已经很痛苦跨站排查更是不现实。这正是 KeyFinder 要解决的痛点。二、80 检测模式从 AWS 到 OpenAI 一网打尽KeyFinder 开箱自带80 种密钥检测模式核心规则集中在 js/patterns.js覆盖 9 大类类别可识别的典型内容☁️ 云平台AWS 访问密钥、Google Cloud API Key、Azure 存储密钥 代码托管GitHub / GitLab / Bitbucket 各类 Token 支付Stripe、PayPal、Square 密钥 通信Slack、Discord、Telegram、Twilio 令牌 AI / 大模型OpenAI、Anthropic、HuggingFace 密钥️ 数据库MongoDB、PostgreSQL、Redis 连接串 SaaS 工具Sentry、Datadog、Algolia、Mapbox 等️ 基础设施Vault、Terraform、Docker Hub、NPM Token 私钥与通用RSA / OpenSSH 私钥、JWT、高熵随机串除了已知格式匹配KeyFinder 还会对候选字符串做香农熵Shannon Entropy分析识别出没有固定格式、但随机性异常高的未知密钥——哪怕是一种没有公开文档的秘密格式也有可能被它标记出来。三、10 个扫描面如何做到一键揪出每打开一个页面KeyFinder 都会在本地被动扫描10 个攻击面脚本标签的srcURL查询参数里的 Token内联script代码内容同源外部 JavaScript 文件meta标签input typehidden隐藏表单字段data-*自定义属性HTML 注释链接与 href 中的查询参数localStorage / sessionStorageXHR 与 Fetch 网络响应页面扫描逻辑在 js/content.js网络响应拦截由 js/interceptor.js 完成存储与消息处理则交给 js/background.js 这个 Service Worker。还有两个值得一提的细节SPA 友好通过 MutationObserver 对页面动态注入的 DOM 重新扫描单页应用的密钥泄漏不会漏网逐标签页红点提示当前页签发现密钥时扩展图标上会出现红点不用打开面板就能一眼察觉四、三步上手从安装到第一份报告方式一官方商店安装推荐在 Chrome Web Store 或 Firefox Add-ons 商店中搜索 KeyFinder点击安装即可。方式二从源码加载git clone https://gitcode.com/gh_mirrors/ke/keyFinderChrome 用户在chrome://extensions开启开发者模式点击加载已解压的扩展程序并选择keyFinder目录清单文件为 manifest.jsonFirefox 用户通过about:debugging加载 manifest.firefox.json。方式三正常浏览即可安装后无需任何配置照常打开网站扫描自动进行。初次使用时仪表盘是一个清爽的空状态五、结果仪表盘过滤、定位、导出一条龙发现结果后点击View Findings即可打开结果仪表盘results.html逻辑在 js/results.js仪表盘把繁琐的排查变成了一次扫视按严重度统计CRITICAL / HIGH / MEDIUM / LOW 四档瓦片点击即筛选严重度排序表格一眼看清命中的服务商AWS、Stripe、OpenAI…、匹配模式和来源位置一键复制点击命中的密钥值即可复制方便与密钥轮换流程衔接键盘党友好按/聚焦搜索框Esc清空JSON / CSV 导出CSV 自带公式注入防护可安全导入 Excel而扩展弹窗popup.html js/popup.js则负责实时统计与自定义关键词观察列表——你可以加入最多 50 个自己的搜索词比如内部系统里的internal_api_token让它与内置模式一起在每个页面被扫描六、隐私与安全所有数据只留在本地一个检测密钥泄漏的工具自己泄漏数据就本末倒置了。KeyFinder 的设计思路非常克制零网络外传不发起任何外部请求扫描结果只保存在本地设备详见 PRIVACY.md最小权限仅申请activeTab与storage两项权限见 manifest.json防伪造通信页面与扩展之间使用逐页 nonce 校验恶意页面难以伪造检测结果注入结果上限最多保留 5000 条FIFO 自动淘汰最旧记录不会无限增长CSV 注入防护导出时中和以、、-、开头的单元格避免 Excel 公式注入完整的威胁模型与已知限制说明可查阅 SECURITY.md。七、谁适合用它角色典型用法渗透测试 / 安全工程师快速定位目标站点页面与接口响应中的泄漏密钥前端 / 全栈开发上线前自查找出误提交到前端的 key 并轮换DevOps / SRE审计管理后台、第三方页面是否暴露内部 Token普通用户安心浏览红点提醒当前页面存在异常密钥⚠️合规提示KeyFinder 仅面向安全研究与授权测试使用请只在自己的应用或获得站点授权时运行并为自己的一切行为负责。八、写在最后KeyFinder 把人工找密钥变成了被动、零配置的检测80 种检测模式、10 个扫描面、熵值分析兜底、数据全程本地化——安装即生效。想更进一步了解它可以从项目文档入手项目概览与完整特性README.md版本更新记录CHANGELOG.md当前 v2.2.1基于 Manifest V3 完整重写隐私政策PRIVACY.md安全策略与威胁模型SECURITY.md下次打开网页时不妨瞟一眼扩展图标——那个小小的红点可能正在提醒你这个页面有密钥泄漏。赞分享【免费下载链接】keyFinderPassive API key and secret discovery browser extension for Chrome and Firefox. 80 detection patterns, zero config.项目地址https://gitcode.com/gh_mirrors/ke/keyFinder点击查看免费下载相关推荐Bracket 自托管赛程管理系统三步生成完整对阵表Bracket 自托管赛程管理系统三步生成完整对阵表 办比赛时用表格手动排对阵、调时间和场地是最耗神的事每加一个选手对阵表就要重排一遍。Bracket后端前端KeyFinder 能检测到什么从 AWS 到 OpenAI 的 80 密钥检测模式全解析KeyFinder 能检测到什么从 AWS 到 OpenAI 的 80 密钥检测模式全解析 KeyFinder 是一款面向 Chrome 和 FirefoxKeyFinder 是什么被动式 API 密钥泄漏探测浏览器扩展完全指南KeyFinder 是什么被动式 API 密钥泄漏探测浏览器扩展完全指南 KeyFinder 是一款面向 Chrome 和 Firefox 的开源浏览器扩展上一篇揭秘Glama连接器徽章与TDQS评分新手快速挑选靠谱远程MCP服务器的完整指南下一篇web-clipper 更新日志全解析从版本演进看剪藏插件的架构变迁创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考