Git 怎么用 filter-repo 清理历史中的敏感信息？

Question

仓乃文 · Accepted Answer

不小心将密码、密钥等敏感信息提交到仓库，即使后续删除，历史记录中仍然存在。filter-repo 可以重写整个提交历史，彻底移除指定文件或内容，比 filter-branch 更快更安全。

安装 filter-repo：
```bash
pip install git-filter-repo
```

删除指定文件的所有历史：
```bash
git filter-repo --path config/secrets.json --invert-paths
# 从所有提交中移除 config/secrets.json
```

替换敏感字符串：
```bash
# 创建替换规则文件 replacements.txt
# 原字符串==>替换字符串
git filter-repo --replace-text replacements.txt
```

只保留指定目录的历史：
```bash
git filter-repo --path src/app/
# 只保留 src/app/ 的历史，其他目录全部移除
```

补充说明：
- filter-repo 是 filter-branch 的替代品，速度快 10-100 倍
- 操作前建议先备份仓库：cp -r repo repo-backup
- 重写历史后所有提交哈希都会改变，需要强制推送
- 团队成员需要重新克隆仓库
- 清理后务必轮换泄露的密钥和密码
- GitHub 仓库可以联系支持团队清理缓存的敏感信息