{
  "$type": "site.standard.document",
  "bskyPostRef": {
    "cid": "bafyreih2ljfqnempcjwcnkykcibdaw2zsmi6277gat4v6vn4op54ajtf4y",
    "uri": "at://did:plc:g4wcucb6ko2frmko2x3lvgyi/app.bsky.feed.post/3ml3nzzpuufz2"
  },
  "path": "/2026/05/05/secretlint-v13/",
  "publishedAt": "2026-05-05T07:28:56.315Z",
  "site": "https://efcl.info",
  "tags": [
    "Secretlint",
    "Release v13.0.0 · secretlint/secretlint",
    "feat!: respect .gitignore by default via @secretlint/walker by azu · Pull Request #1530",
    "Issues · secretlint/secretlint",
    "globby",
    "@secretlint/walker",
    "docs/superpowers/plans/2026-05-03-walker-gitignore-cascade-plan.md",
    "ripgrep",
    "ignore crate",
    "oxc",
    "tiny-readdir-glob-gitignore",
    "ignore-walk",
    "picomatch",
    "node-ignore",
    "fs.glob",
    "path.matchesGlob",
    "Tailscale",
    "Stripe",
    "Cloudflare",
    "Add Tailscale API key detection rule by azu · Pull Request #1536",
    "feat(secretlint-rule-stripe): add Stripe API key detection rule by azu · Pull Request #1537",
    "feat(secretlint-rule-preset-recommend): promote cloudflare, stripe, tailscale from canary by azu · Pull Request #1538",
    "@secretlint"
  ],
  "textContent": "ソースコードや設定ファイルに含まれるAPIトークンやパスワードなどの機密情報を見つけるSecretlintのv13.0.0をリリースしました。\n\n  * Release v13.0.0 · secretlint/secretlint\n\n\n\nこのバージョンの主な変更点は次の3つです。\n\n  * ファイル探索時に`.gitignore`をデフォルトで尊重するように変更（Breaking Change）\n  * グロブメタ文字を含むパスが実在する場合はリテラルとして扱うように変更\n  * Tailscale/Stripeの検出ルールを新規追加、CloudflareをcanaryからrecommendへPromote\n\n\n\n## Breaking Change: `.gitignore`をデフォルトで尊重\n\nv13.0.0では、ファイル探索時に`.gitignore`の内容をデフォルトで尊重するようになりました。 ripgrepと同じ挙動で、ネストされた`.gitignore`ファイルもサブディレクトリへカスケードして適用されます。深い階層のネガティブルール（`!`）で上位の判定を上書きできます。\n\n  * feat!: respect .gitignore by default via @secretlint/walker by azu · Pull Request #1530\n\n\n\n`.gitignore`に一致したファイルはスキャン対象から除外されます。 そのため、これまで`dist/`や生成物などを意図的にスキャンしていたプロジェクトでは、出力されるファイル数が減ります。\n\n`.secretlintignore`はこれまで通り併用できます。\n\nv12までの挙動に戻したい場合は、`--no-gitignore`オプションを指定します。\n\n\n    secretlint --no-gitignore \"**/*\"\n\n\n`.gitignore`に一致しているはずのファイルが結果に含まれている場合は、Issueで報告してください。\n\n  * Issues · secretlint/secretlint\n\n\n\n### 実装: `@secretlint/walker`\n\nv13.0.0では、ファイル探索の実装をglobbyから、新しく追加した@secretlint/walkerへ置き換えました。\n\n設計はplanドキュメントとしてリポジトリにコミットされています。\n\n  * docs/superpowers/plans/2026-05-03-walker-gitignore-cascade-plan.md\n\n\n\nRustにはripgrepのignore crateがあり、oxcなどはこれを使うことで`.gitignore`のカスケードを安価に再利用できます。 JavaScript側にも、ネストされた`.gitignore`に対応するwalkerが全く無いわけではありません（tiny-readdir-glob-gitignore、ignore-walkなど）。 ただし、ripgrepの`ignore` crateほど枯れた実績や仕様の網羅度を持つものは見当たりませんでした。 また、後述する「グロブメタ文字を含むパスが実在する場合はリテラル扱いにする」のように、走査・マッチ側に独自の制御を入れたい要件もあります。 依存ライブラリも`node-ignore`と`picomatch`まで分解すれば`fs.readdir`の上に薄く書ける範囲だったため、Secretlint側でwalkerを実装することにしました。\n\n`@secretlint/walker`は、ネストされた`.gitignore`のカスケードに対応するPromiseベースのファイルシステムwalkerです。 依存ライブラリは`ignore`（node-ignore）と`picomatch`の2つだけで、含めるパターン（include）と除外するパターン（ignore）でセマンティクスを分離しています。\n\n  * 含めるパターン（include）: picomatchを使ったグロブマッチ。`**/*.{ts,js}`のようなブレース展開やドットファイルのマッチに対応する\n  * 除外するパターン（ignore）: node-ignoreを使った`.gitignore`セマンティクスのマッチ。`.gitignore`の挙動に合わせるため、ブレース展開は意図的に対応しない\n\n\n\nNode.js本体にもfs.globやpath.matchesGlobが用意されていますが、これらにはドットファイルをマッチに含める`dot`オプションが存在しません。 ドットファイル（`.env`など）のスキャンが要件として外せないため、include側は`picomatch`にしています。\n\n走査自体は`fs.readdir(dir, { withFileTypes: true })`をベースにしたシンプルな再帰で、各ディレクトリのエントリを`Promise.all`で並列処理します。 ディレクトリ単位でignoreを判定し、無視対象に該当したディレクトリはサブツリーごと走査をやめます。 `readdir`自体を呼ばないため、大きな`node_modules`配下などをまるごとスキップできます。\n\n`.gitignore`のカスケードは`IgnoreStack`という構造で扱います。 親ディレクトリの`ignore`インスタンスに対して、現在のディレクトリの`.gitignore`を読み込んで`extendIgnore()`で重ねるという形でレイヤーを積みます。 `.gitignore`がそのディレクトリに存在しない場合は親のインスタンスをそのまま返すため、不要なallocationが起きません。 深い階層のネガティブルール（`!pattern`）が浅い階層のルールを上書きする挙動も、このスタック上で自然に表現されます。 ネストされた`.gitignore`内のパターンはそのファイルの置かれたディレクトリにアンカーされます。 そのため、`packages/foo/.gitignore`の`src/**/*.ts`はリポジトリルートではなく`packages/foo/src/`配下にだけ適用されます。\n\nクロスプラットフォーム対応として、`node-ignore`へ渡すパスはWindowsでも`/`区切りに正規化（`toPosix()`）した上でマッチングします。 返すパスはOSネイティブの区切り文字に戻します。 また、`ENOENT`や`EACCES`は探索全体を止めずにスキップする方針で、ファイル削除・パーミッションエラーに対して頑健になっています。\n\n入力パターンは静的なプレフィックス（walk root）と動的なサフィックス（マッチパターン）に分割し、同じrootを持つパターンはグループ化して1度のwalkで処理します。 グロブメタ文字を含む入力でも、それが実際のファイル/ディレクトリとして存在する場合は`noGlob`相当の扱いにフォールバックさせるロジックもwalker側に入っています。\n\n主なAPIは`walk(options)`で、パッケージ単独でも利用できます。\n\nオプション | 型 | デフォルト | 説明\n---|---|---|---\n`cwd` | `string` | 必須 | 探索の起点ディレクトリ\n`patterns` | `string[]` | `undefined` | インクルードのグロブパターン\n`ignoreFiles` | `string[]` | `[]` | カスケード対象のignoreファイル名（`.gitignore`など）\n`extraIgnorePatterns` | `string[]` | `[]` | コードから渡す追加のignoreパターン\n`noGlob` | `boolean` | `false` | `patterns`をリテラルとして扱う\n`followSymlinks` | `boolean` | `true` | シンボリックリンクを追従するか\n\nCLI側の`secretlint`では、`--no-gitignore`が指定された場合は`ignoreFiles`から`.gitignore`を外し、それ以外の場合はカスケード有効でwalkします。 `.secretlintignore`は別経路の`extraIgnorePatterns`相当で従来通り適用されるため、`.gitignore`との共存に影響はありません。\n\n### パフォーマンス\n\nwalker単体の実行時間で見ると、globbyからの置き換えによるパフォーマンスの大きな劣化はありません。 一方で、`.gitignore`のカスケードは「親のルールに子のルールを正しく重ねる」ことを満たさないと挙動が壊れる部分なので、ここはripgrepの実装を参考にしながら書いています。\n\n実際のSecretlintの実行時間で見ると、`.gitignore`を尊重することで`node_modules/`や`dist/`などをそもそもスキャンしなくなるため、Lint対象のファイル数が減ります。 スキャン+ルール評価のコストはファイル数に比例して効いてくるため、walker自体のコストよりもLint対象が減ることによる削減のほうが支配的になります。 結果として、v12より速く終わるケースが多くなる想定です。\n\n## グロブメタ文字を含むパスが実在する場合はリテラル扱いに\n\nSecretlintはコマンドライン引数をデフォルトでグロブパターンとして解釈します。 v13.0.0では、グロブメタ文字（`()`、`[]`、`{}`、`?`）を含むパスが実際にファイル/ディレクトリとして存在する場合は、リテラルとして扱うように変更しました。\n\nこれは、SvelteKitやNext.jsのRoute Groupなど、ディレクトリ名に`()`や`[]`を含むプロジェクトで特に有効です。\n\nパターン | ディスク上 | v12のデフォルト | v13のデフォルト\n---|---|---|---\n`src/(group)/page.tsx` | 存在する | グロブとして解釈、マッチしない | リテラルとしてマッチ\n`src/(missing)/page.tsx` | 存在しない | グロブとして解釈 | グロブとして解釈\n`src/[a-z]ormal.tsx` | `normal.tsx`が存在 | グロブ経由でマッチ | グロブ経由でマッチ\n\n入力ごとに1度だけ`stat`を実行し、存在すればリテラル、存在しなければ従来通りグロブとして扱います。 従来通り常にリテラルとして扱いたい場合は、`--no-glob`オプションを指定します。\n\n## 新しく追加された検出ルール\n\n`@secretlint/secretlint-rule-preset-recommend`に、次の3つのルールが追加されました。\n\n  * Tailscale - Tailscale APIキー（新規追加）\n  * Stripe - Stripe APIキー（新規追加）\n  * Cloudflare - Cloudflare APIトークン（canaryから昇格）\n\n\n\n関連PRは次のとおりです。\n\n  * Add Tailscale API key detection rule by azu · Pull Request #1536\n  * feat(secretlint-rule-stripe): add Stripe API key detection rule by azu · Pull Request #1537\n  * feat(secretlint-rule-preset-recommend): promote cloudflare, stripe, tailscale from canary by azu · Pull Request #1538\n\n\n\n`@secretlint/secretlint-rule-preset-recommend`を使っている場合は、v13.0.0にアップデートすると自動的にこれらのルールが有効になります。\n\n## まとめ\n\nSecretlint v13.0.0では、ファイル探索が`.gitignore`をデフォルトで尊重するようになりました。 そのため、`dist/`などをスキャンしていたプロジェクトでは、`--no-gitignore`への切り替えや`.secretlintignore`の見直しが必要になります。\n\nこれに加えて、グロブメタ文字を含む実在パスをリテラルとして扱うよう調整し、Route Groupなどのディレクトリ構成でもオプションなしに動作します。 検出ルールにはTailscale/Stripe/Cloudflareを追加しています。\n\nフィードバックがあればGitHubのIssueでお知らせください。\n\n  * Release v13.0.0 · secretlint/secretlint\n  * Issues · secretlint/secretlint\n\n",
  "title": "Secretlint v13.0.0リリース: .gitignore済みをデフォルトで無視、Tailscale/Stripe/Cloudflareの検出に対応",
  "updatedAt": "2026-05-05T01:00:00.000Z"
}