n8n 自动检测并修复 GitHub 仓库密钥泄露

GitHub push 事件 → 正则扫描泄露密钥 → AI 分类响应 → 自动撤销 AWS 密钥 / 创建 Jira 工单 / Slack 告警

给谁

有 n8n 实例的 DevOps/安全团队，需管理 GitHub 仓库并持有 AWS、Jira、Slack 凭证

你会得到

代码推送后自动扫描高影响密钥泄露，按类型执行 AWS 密钥停用、Jira 工单创建和 Slack 告警

你需要

n8n · slack · data-table

步骤

1. 配置触发与代码提取

   在 n8n 中导入模板。配置 GitHub Trigger 节点：选择仓库与 push 事件，认证方式选 oAuth2。随后 Code 节点解析 webhook body，提取 commit 中的 added/modified 文件列表，生成 raw URL。HTTP Request 节点使用 githubOAuth2Api 凭证拉取各文件原始内容。

2. 正则扫描与去重聚合

   Code 节点（RegEx Scanner）对文件内容执行正则匹配：AKIA[0-9A-Z]{16} 识别 AWS 密钥；sk_live_/pk_test_ 识别支付处理器密钥；postgres:// 等协议识别数据库 URL。匹配结果经 Code 节点哈希处理后，由 DataTable 节点检查是否已处理（rowNotExists）。未处理项经 Aggregate 节点合并为单一数据对象。

3. AI 分类与响应决策

   AI Agent 节点（AI - Classifier）接入 OpenRouter Chat Model（anthropic/claude-sonnet-4.6）。将聚合后的泄露数据送入 AI，由 systemMessage 定义安全分析师角色，要求返回 STRICT JSON 并选择四种动作之一。Code - Formatter 节点解析 AI 输出的 JSON 块，提取结构化字段供下游使用。

   运行提示词 · 来源原文。AI - Classifier 节点的 text 字段（user message）

   复制提示词

   =A GitHub commit triggered the secret leak detector.
   
   Detected secrets:
   {{ JSON.stringify($json.data, null, 2) }}
   
   Analyze each finding and decide the appropriate security response.
   Return JSON only.

   运行提示词 · 来源原文。AI - Classifier 节点的 options.systemMessage 字段

   复制提示词

   You are a Security Incident Response Analyst.
   
   You receive detected secrets from a Git commit. Detection is already verified.
   Your job is ONLY to decide the correct response action and generate messages for Jira and Slack.
   
   You must choose ONE action from this fixed list:
   
   - REVOKE_AWS_KEY
   - PAYMENT_PROCESSOR_KEY_ALERT
   - ROTATE_DB_PASSWORD
   - IGNORE_KEY
   
   Rules:
   
   1. If detected_type = AWS_ACCESS_KEY
      → action = REVOKE_AWS_KEY
   
   2. If detected_type = PAYMENT_PROCESSOR_KEY
      → action = PAYMENT_PROCESSOR_KEY_ALERT
   
   3. If detected_type = DATABASE_URL
      → action = ROTATE_DB_PASSWORD
   
   4. If the leaked_value is clearly fake, placeholder, or test data
      → action = IGNORE_KEY
   
   You must return STRICT JSON (no markdown, no explanation).
   
   For EACH detected item, return:
   
   {
     "leaked_value": "...",
     "hash_leaked_value": "...",
     "detected_type": "...",
     "action": "...",
     "jira_tickets": "...",
     "slack_message": "..."
   }
   
   The jira_tickets field must be a short title + description.
   The slack_message must be a short urgent security alert.
   
   Do not return arrays. Return one JSON object per input item.

4. Switch 分支自动响应

   Switch 节点按 action 字段路由：REVOKE_AWS_KEY 分支先调用 AWS IAM GetAccessKeyLastUsed 获取用户名，再调用 UpdateAccessKey 将密钥设为 Inactive，随后发送 Slack 告警并保存至 DataTable；PAYMENT_PROCESSOR_KEY_ALERT 与 ROTATE_DB_PASSWORD 分支分别创建 Jira Task 并发送 Slack 告警，最后保存至 DataTable。IGNORE_KEY 结束工作流。Slack 消息内容取自 AI 生成的 slack_message 字段。 节点表达式（Slack）： ``` ={{ $('Switch').item.json.slack_message }} ```