chore: 凭证防泄漏检查落地——脚本入库、CI 兜底 step、规范页启用说明（ADR-021）

- 新增 scripts/check-secrets.sh 与 scripts/hooks/pre-commit（与 api/flutter 同构，规则单一来源）
- ci.yml 在 checkout 后新增 Secret scan step；mkdocs build --strict 通过
- git-workflow.md 新增「凭证防泄漏检查」节：两层机制、启用命令、允许清单边界、真凭证轮换优先原则
- 验收：全仓 74 个已跟踪文件扫描零误报

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

docs/development/git-workflow.md

@@ -33,6 +33,26 @@ feat: 迁移珊瑚橙主题体系并新增认证基础组件（ADR-005）
 - **不修改已推送的 Flyway 迁移**（呼应开发计划 4.3 节）：`V1__*.sql` 等已进入 `dev` 的版本化迁移视为不可变，schema 变更一律新增 `V<n+1>__*.sql`。
 - 不改写已推送的提交历史（rebase/amend 仅限未推送内容）。
 
+## 凭证防泄漏检查（ADR-021）
+
+两层检查共用同一规则表，单一来源为各仓入库的 `scripts/check-secrets.sh`（纯 shell，零外部依赖；三仓副本内容同构，调整规则时三仓同步提交）：
+
+1. **本地 pre-commit（推荐，每人每仓启用一次）**：
+
+   ```bash
+   cd <你的工作区>/<仓名>
+   git config core.hooksPath scripts/hooks
+   ```
+
+   之后每次 `git commit` 自动扫描暂存区内容与文件名。注意 `core.hooksPath` 会整体接管 hooks 目录（当前三仓无其他自定义 hook）。`git commit --no-verify` 可绕过，但仅限确认误报时使用——CI 兜底仍会拦。
+2. **CI 兜底（强制）**：三仓 `ci.yml` 在 checkout 后的首个 step 运行同一脚本的 `--all` 模式，对全部已跟踪文件扫描（本次 push 变更文件的超集），命中即红，禁止合入。
+
+规则覆盖（细节以脚本内规则表为准，不在文档重复维护，避免两处漂移）：云厂商 AccessKey 形态（AWS/腾讯云/阿里云前缀）、MinIO 默认凭证、独立成行的私钥 PEM 头、access/secret key 与 JWT/签名密钥的实值赋值、配置类文件中非 `${}` 注入形态的数据库口令、`.env`/credentials/密钥导出 CSV 文件本体误入版本库。允许清单：`${}` 注入形态、占位值（changeme、your-xxx、`<占位>` 等）与明显示例值——配置真实值仍只允许存在于被 gitignore 的文件中，占位只进 `.sample`。
+
+手动全量自查：`sh scripts/check-secrets.sh --all`（在仓库根目录执行）。
+
+**拦下真实云凭证后的第一动作是去云控制台轮换/禁用该密钥**，之后才是清理提交历史——只清历史不轮换等于没有处理。
+
 ## 提交前本地门禁（未来 CI 将执行同一清单）
 
 | 仓库 | 必跑命令 | 通过标准 |