MultiPurposeAuthSite/.github/secret_scanning.yml at develop · OpenTouryoProject/MultiPurposeAuthSite · GitHub

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
# --------------------------------------------------
# Secret scanning のアラートから除外するパス
#
# ここに書いたパスは「アラートを出さない」だけである。
# **Push protection には効かない。** Push protection は除外設定を見ず、
# 検知したら push を止める（通したい場合はバイパスする）。
#
# したがって本ファイルの目的は、
# **テスト専用の資材やベンダ製の配布物で Security タブが埋まり、
# 本物が見えなくなるのを防ぐこと**にある。
#
# **本ファイルは既定ブランチ（develop）に載って初めて効く。**
#
# 参考: https://docs.github.com/code-security/secret-scanning/using-advanced-secret-scanning-and-push-protection-features/excluding-folders-and-files-from-secret-scanning
# --------------------------------------------------
paths-ignore:

  # --------------------------------------------------
  # 署名・暗号・クライアント証明書認証のテスト用（22 件）
  #
  # SAML2 / JWT(JWS・JWE) の署名、mTLS のクライアント証明書認証で使う。
  # **すべてテスト専用の自己署名で、実運用の証明書は含まない。**
  # パスフレーズは `test` であり、これも意図的（SECURITY.md の「対象範囲」）。
  #
  # 内訳: *.pfx 12 件 / *.cer 8 件 / 生成用の *.bat 3 件
  # 実体は次の設定から参照される。
  #   RsaPfxFilePath / EcdsaPfxFilePath          … IdP 側の署名鍵
  #   SpRp_*CerFilePath / SpRp_*PfxFilePath      … クライアント側の検証・署名鍵
  #   SpRp_ClientCertPfxFilePath                 … mTLS のクライアント証明書
  # --------------------------------------------------
  - "root/files/resource/X509/**"

  # --------------------------------------------------
  # ベンダ製 minified 資産のソース マップ（59 件）
  #
  # bootstrap / jQuery / popper の配布物に同梱されている *.map。
  # base64 の断片が、たまたま プロバイダ パターンに似た並びになる。
  #
  # 実測（develop a29fcd1 時点）:
  #   AIza… : Scripts/jquery-3.7.1.min.map, jquery-3.7.1.slim.min.map
  #   AKIA… : Content/bootstrap.css.map, bootstrap.rtl.css.map
  #
  # いずれも上流の配布物そのままであり、**自前のビルド成果物は含まない。**
  # --------------------------------------------------
  - "**/*.map"

  # --------------------------------------------------
  # .NET (Core) 版のクライアント サイド ライブラリ（57 件）
  #
  # bootstrap / jquery / jquery-validation / jquery-validation-unobtrusive の dist を
  # そのままリポジトリに格納している（npm を使わない方式に変更済み）。
  # **ディレクトリ丸ごとが第三者の配布物**であり、自前のコードは入らない。
  #
  # 自前の JS/CSS は wwwroot/js/{app,touryo,multiauthsite}/ と
  # wwwroot/css/{app,touryo}/ に在り、こちらは除外しない。
  # --------------------------------------------------
  - "root/programs/MultiPurposeAuthSiteCore/MultiPurposeAuthSiteCore/wwwroot/lib/**"

# --------------------------------------------------
# ここに足していないもの、と その理由
#
# ・設定ファイルのテンプレート
#     _app.config / _appsettings.json
#     プレースホルダに `sk_test_xxxxx` / `pk_test_xxxxx` の文字列を含むが、
#     **本物を誤ってコミットしたときに気付けなくなる**ため除外しない。
#     実ファイル（app.config / appsettings.json）は .gitignore 対象。
#
# ・プッシュ通知の資格情報ファイル
#     root/files/resource/MultiPurposeAuthSite/FirebaseServiceAccountKey.json
#     root/programs/authentication_device/android/app/google-services.json
#     **どちらも「差し替えてください」と書いただけのプレースホルダ**で追跡されている。
#     利用者が実物に置き換えてコミットする事故が最も起きやすい場所なので、
#     **意図的に監視対象のまま残す。**
#
# ・net48 版の Scripts/ と Content/ をまとめて除外すること
#     直下はベンダ製だが、Scripts/app/ Scripts/touryo/ Content/app/ Content/touryo/ は
#     **自前のコード**である。ディレクトリ単位では切れないため、*.map だけを除外している。
#
# ・テスト・サンプルをまとめて除外すること
#     範囲が広すぎる。**本物のキーを誤って置いたときに気付けなくなる。**
#     除外は「中身が分かっているファイル」に限る。
# --------------------------------------------------