sec-diff-scan

Wie sec-scan, aber der Scope ist eine Änderung. Vertrag, Dateiformate und Regeln: sec-scan/references/contract.md; Schemas und Validator in sec-scan/schemas/ und sec-scan/scripts/. Preflight (Eigentum, Lock-Prüfung, Egress, Kosten), Kandidaten-Aufbau (id per secfind.py id, Geheimnisse maskieren) und Validierung laufen wie in sec-scan > Ablauf. Hier nur die Unterschiede.

Scope auflösen

Eine der Quellen, immer mit dem exakten Vergleichspunkt:

• PR: Basis- und Head-Commit des PR (lokal git diff <base>...<head>, oder PR per gh holen; Egress beachten).
• Commit(s) oder Branch: git diff <base>...<branch>.
• Working-Tree: git diff und git diff --staged plus ungetrackte Dateien.

findings.json > target.ref = Head-Commit (oder working-tree), target.scope = die Diff-Dateien. Ist der Diff leer, abbrechen und das melden.

Ablauf (statt sec-scan Schritte 3-5)