开源清理器¶

# APIキー
pattern: [A-Za-z0-9_]*(api[_-]?key|apikey|api[_-]?secret)[A-Za-z0-9_]*\s*[=:]\s*['"]?[A-Za-z0-9+/=_-]{16,}

# AWS
pattern: AKIA[0-9A-Z]{16}
pattern: (?i)(aws_secret_access_key|aws_secret)\s*[=:]\s*['"]?[A-Za-z0-9+/=]{20,}

# 認証情報付きデータベースURL
pattern: (postgres|mysql|mongodb|redis)://[^:]+:[^@]+@[^\s'"]+

# JWTトークン（3セグメント: header.payload.signature）
pattern: eyJ[A-Za-z0-9_-]{20,}\.eyJ[A-Za-z0-9_-]{20,}\.[A-Za-z0-9_-]+

# 秘密鍵
pattern: -----BEGIN\s+(RSA\s+|EC\s+|DSA\s+|OPENSSH\s+)?PRIVATE KEY-----

# GitHubトークン（personal、server、OAuth、user-to-server）
pattern: gh[pousr]_[A-Za-z0-9_]{36,}
pattern: github_pat_[A-Za-z0-9_]{22,}

# Google OAuthシークレット
pattern: GOCSPX-[A-Za-z0-9_-]+

# Slack Webhook
pattern: https://hooks\.slack\.com/services/T[A-Z0-9]+/B[A-Z0-9]+/[A-Za-z0-9]+

# SendGrid / Mailgun
pattern: SG\.[A-Za-z0-9_-]{22}\.[A-Za-z0-9_-]{43}
pattern: key-[A-Za-z0-9]{32}

# 設定ファイル内の高エントロピー文字列
pattern: ^[A-Z_]+=[A-Za-z0-9+/=_-]{32,}$
severity: WARNING（手動レビューが必要）

# 個人メールアドレス（noreply@、info@などの汎用アドレスは除外）
pattern: [a-zA-Z0-9._%+-]+@(gmail|yahoo|hotmail|outlook|protonmail|icloud)\.(com|net|org)
severity: CRITICAL

# 内部インフラを示すプライベートIPアドレス
pattern: (192\.168\.\d+\.\d+|10\.\d+\.\d+\.\d+|172\.(1[6-9]|2\d|3[01])\.\d+\.\d+)
severity: CRITICAL（.env.exampleでプレースホルダーとして文書化されていない場合）

# SSH接続文字列
pattern: ssh\s+[a-z]+@[0-9.]+
severity: CRITICAL

# 特定のユーザーホームディレクトリへの絶対パス
pattern: /home/[a-z][a-z0-9_-]*/  （/home/user/以外すべて）
pattern: /Users/[A-Za-z][A-Za-z0-9_-]*/  （macOSホームディレクトリ）
pattern: C:\\Users\\[A-Za-z]  （Windowsホームディレクトリ）
severity: CRITICAL

# 内部シークレットファイル参照
pattern: \.secrets/
pattern: source\s+~/\.secrets/
severity: CRITICAL

.env（すべてのバリアント: .env.local、.env.production、.env.*.local）
*.pem、*.key、*.p12、*.pfx、*.jks
credentials.json、service-account*.json
.secrets/、secrets/
.claude/settings.json
sessions/
*.map（ソースマップは元のソース構造とファイルパスを露出する）
node_modules/、__pycache__/、.venv/、venv/

# 単一の初期コミットであるべき
cd PROJECT_DIR
git log --oneline | wc -l
# 1より大きい場合、履歴がクリーンアップされていない — FAIL

# 履歴内の潜在的シークレットを検索
git log -p | grep -iE '(password|secret|api.?key|token)' | head -20

# サニタイゼーションレポート: {project-name}

**日付:** {date}
**監査人:** opensource-sanitizer v1.0.0
**判定:** PASS | FAIL | PASS WITH WARNINGS

## サマリー

| カテゴリ | ステータス | 所見 |
|----------|----------|------|
| シークレット | PASS/FAIL | {count}件の所見 |
| PII | PASS/FAIL | {count}件の所見 |
| 内部参照 | PASS/FAIL | {count}件の所見 |
| 危険なファイル | PASS/FAIL | {count}件の所見 |
| 設定の完全性 | PASS/WARN | {count}件の所見 |
| git履歴 | PASS/FAIL | {count}件の所見 |

## 重大な所見（リリース前に修正必須）

1. **[SECRETS]** `src/config.py:42` — ハードコードされたデータベースパスワード: `DB_P...`（切り捨て）
2. **[INTERNAL]** `docker-compose.yml:15` — 内部ドメインを参照

## 警告（リリース前にレビュー）

1. **[CONFIG]** `src/app.py:8` — ポート8080がハードコード、設定可能にすべき

## .env.example監査

- コード内にあるが.env.exampleにない変数: {リスト}
- .env.exampleにあるがコード内にない変数: {リスト}

## 推奨事項

{FAILの場合: "{N}件の重大な所見を修正してサニタイザーを再実行してください。"}
{PASSの場合: "プロジェクトはオープンソースリリースの準備完了。パッケージャーに進んでください。"}
{WARNINGSの場合: "プロジェクトは重大チェックに合格。リリース前に{N}件の警告をレビューしてください。"}