mask-pipe

手元の端末は「信頼できる空間」だと感じやすい。でも開発者が意識しない経路から、シークレットは頻繁に画面の外へ漏れる。画面共有 中の env や docker-compose config、ペアプロ で同期される tmux / Live Share の出力、何千行も残る スクロールバック、そして AI アシスタントに貼り付けた ログに混ざる資格情報。録画された asciinema もディスクにシークレットを残す。

既存ツールはこのベクトルを守らない。secretlint は コミット前のファイル、TruffleHog は リポジトリ/ログの事後検出、GitHub add-mask は CI ログ専用。どれも「ローカルの実行時 stdout が、いま画面に出る瞬間」は守ってくれない。その瞬間を埋める道具が手元になかったので、自分で作った。

位置づけは明快にした ——「TruffleHog はコードを、secretlint はコミットを守る。mask-pipe は画面を守る」。競合ではなく、コミット前スキャナと事後検出の間を埋める補完として設計している。使い方は <command> | mask-pipe の一本のパイプだけ。stdin を行単位で読み、シークレットらしき部分をマスクして即 flush するので、tail -f のようなストリーミング用途でも遅延しない。

マスク対象は、設定なしで効く 8 つの高精度な組み込みパターン（GitHub PAT / トークン、AWS アクセスキー・シークレットキー、Stripe キー、JWT、DB URL のパスワード、PEM 秘密鍵）。方針は 再現率より精度を優先 している。誤検知を出すくらいなら検出漏れを許す、という割り切りにした。たとえば AWS シークレットキーは裸の 40 文字をマッチさせず、aws_secret_access_key= という 文脈キーがある場合だけ キャプチャ部を伏せる。各パターンが match/no-match 例を 5 件以上抱え、それをテストで縛ることで精度を担保している。

難所は PEM 秘密鍵 だった。20〜50 行に渡るブロックは全体を見ないとマスク判断ができないが、全入力をメモリに溜めると tail -f がハングする（ストリーミング保証違反）。そこで begin/end マーカーを検出した時 だけ バッファリングモードに入り、単一行パターンの遅延はゼロのまま複数行だけ溜める方式にした。安全上限（100 行 / 64KB）を超えたら 未加工のまま flush（fail-open） し、不正な入力でデータが消えないようにしている。

「全部自動でマスク」も検討したが、子プロセスの stdout にフィルタを挟むと子が pipe（非 TTY）を見て、色消失・TUI 破綻・isatty() の false 化を招く。これは Unix の本質的制約で、1Password op run が実証済みの失敗でもある。だから 明示パイプを既定 とし、LD_PRELOAD や zsh hook による自動ラップは ADR で明確に却下した。何がマスクされるかは --dry-run で破壊せず確認でき、list-patterns / doctor で設定と環境を点検できる。

c12o-dev/mask-pipe として MIT で公開し、v0.1.1 をリリース済み。Homebrew tap・go install・GitHub Releases のバイナリ で配布している。env | mask-pipe や docker logs -f app 2>&1 | mask-pipe、kubectl logs pod | mask-pipe --show-tail 0 のように、いつものコマンドの末尾にパイプを一本足すだけで、画面共有・ペアプロ・AI 貼り付けの漏洩経路を表示前に塞げる。

クロスコンパイル（darwin/linux/windows × amd64/arm64）と CI（build → -race test → vet → gofmt）を備え、約 1,800 行・テスト 47 件のコンパクトな単一バイナリに収めた。テレメトリなし・ローカル完結・外部依存はひとつだけ。単機能の軽量バイナリに保つことを優先し、依存を足すときは ADR に理由を残すようにしている。