使用 `git filter-branch` 或 `BFG Repo-Cleaner` 清理 Git 提交历史

一、检查 Git 历史中是否存在 .env 文件

以下是几种验证方法，从简单到详细：

方法一：快速检查文件历史

# 检查 .env 是否在任何历史提交中出现过
git log --all --full-history -- .env

# 如果输出为空，说明历史中已经没有这个文件了
# 如果有输出，会显示包含该文件的所有 commits

方法二：检查所有分支和标签

# 在所有分支、标签中搜索
git log --all --oneline --name-only --diff-filter=A | grep "\.env"

# 或者更详细的版本
git log --all --full-history --pretty=format:"%h %s" --name-only | grep -B 1 "\.env"

方法三：遍历所有提交查找文件

# 列出所有曾经包含 .env 的 commit
git rev-list --all | while read commit; do
    if git ls-tree -r $commit | grep -q "\.env$"; then
        echo "Found .env in commit: $commit"
        git show --stat $commit | head -n 5
    fi
done

方法四：检查具体内容（更彻底）

# 搜索所有历史中的 .env 文件内容
git grep "\.env" $(git rev-list --all)

# 或者搜索包含特定敏感信息的内容（比如 API_KEY）
git grep "API_KEY" $(git rev-list --all)

# 注意：这个命令可能很慢，可以加上路径限制
git grep "DB_PASSWORD" $(git rev-list --all) -- "*.env"

方法五：使用 git filter-repo 验证

# 生成文件路径分析报告
git filter-repo --analyze

# 查看报告（会在 .git/filter-repo/analysis/ 目录）
cat .git/filter-repo/analysis/path-all-sizes.txt | grep "\.env"

方法六：检查打包对象（最彻底）

# 验证所有 Git 对象中是否还有 .env
git verify-pack -v .git/objects/pack/*.idx | \
  grep -v chain | \
  sort -k3nr | \
  while read hash type size rest; do
    if [ "$type" = "blob" ]; then
      git cat-file -p $hash 2>/dev/null | head -n 1 | grep -q "\.env" && echo "Found in $hash"
    fi
  done

🔍 完整验证脚本

创建一个验证脚本 check-env-history.sh：

#!/bin/bash

echo "=== 检查 Git 历史中的 .env 文件 ==="
echo ""

echo "1. 检查文件历史记录..."
if git log --all --full-history -- .env | grep -q "commit"; then
    echo "❌ 发现 .env 文件历史记录："
    git log --all --oneline --full-history -- .env
else
    echo "✅ 未发现 .env 文件历史记录"
fi

echo ""
echo "2. 检查所有提交中的文件树..."
found=0
git rev-list --all | while read commit; do
    if git ls-tree -r $commit | grep -q "\.env$"; then
        echo "❌ 在提交 $commit 中发现 .env"
        found=1
    fi
done

if [ $found -eq 0 ]; then
    echo "✅ 所有提交中未发现 .env 文件"
fi

echo ""
echo "3. 检查 .gitignore 配置..."
if grep -q "^\.env" .gitignore 2>/dev/null; then
    echo "✅ .env 已在 .gitignore 中"
else
    echo "⚠️  建议将 .env 添加到 .gitignore"
fi

echo ""
echo "4. 检查当前工作目录..."
if [ -f .env ]; then
    echo "⚠️  当前目录存在 .env 文件（本地文件，未跟踪）"
else
    echo "✅ 当前目录无 .env 文件"
fi

echo ""
echo "=== 检查完成 ==="

使用方式：

chmod +x check-env-history.sh
./check-env-history.sh

📊 可视化检查（推荐）

使用 git log 的图形化输出：

# 查看包含 .env 的提交图谱
git log --all --graph --oneline --decorate -- .env

# 如果输出为空，说明清理成功

✅ 验证清理是否成功的标准

清理成功的标志：

# 1. 文件历史为空
git log --all -- .env
# 输出: (空)

# 2. 仓库大小明显减小
du -sh .git
# 清理前后对比

# 3. 对象数量减少
git count-objects -vH

# 4. 使用 BFG 验证工具
java -jar bfg.jar --no-blob-protection --delete-files .env --dry-run your-repo.git
# 输出应该显示没有找到需要清理的文件

🎯 实战示例

# 一条命令快速验证
if git log --all --full-history -- .env 2>/dev/null | grep -q "commit"; then
    echo "❌ .env 仍在历史中"
    git log --all --oneline -- .env
else
    echo "✅ .env 已从历史中清除"
fi

# 验证远程仓库
git ls-remote --heads origin | while read sha ref; do
    echo "检查分支: $ref"
    git log $sha --oneline -- .env
done

💡 额外建议

清理后的完整验证流程：

# 1. 本地验证
git log --all --full-history -- .env

# 2. 远程验证（克隆新副本）
cd /tmp
git clone https://github.com/your-username/your-repo.git verify-repo
cd verify-repo
git log --all --full-history -- .env

# 3. 检查所有协作者
# 通知团队成员重新克隆，而不是 pull

如果上述任何检查都没有输出，就说明 .env 文件已经从 Git 历史中彻底清除了！🎉

二、清理 Git 历史中的 .env 文件

从 Git 历史中彻底删除敏感文件是个重要的安全操作。下面介绍两种方法：

方法一：使用 BFG Repo-Cleaner（推荐）

BFG 比 git filter-branch 快 10-720 倍，而且更简单易用。

# 1. 下载 BFG (需要 Java 环境)
wget https://repo1.maven.org/maven2/com/madgag/bfg/1.14.0/bfg-1.14.0.jar
# 或者用 Homebrew (macOS)
brew install bfg

# 2. 创建仓库的镜像克隆
git clone --mirror https://github.com/your-username/your-repo.git

# 3. 删除指定文件
java -jar bfg-1.14.0.jar --delete-files .env your-repo.git
# 或者 Homebrew 安装的版本
bfg --delete-files .env your-repo.git

# 4. 进入镜像仓库
cd your-repo.git

# 5. 清理和压缩
git reflog expire --expire=now --all
git gc --prune=now --aggressive

# 6. 推送到远程（强制覆盖）
git push --force

方法二：使用 git filter-branch

这是 Git 原生方法，但比较慢且复杂：

# 1. 备份仓库（重要！）
git clone your-repo.git your-repo-backup

# 2. 从所有 commits 和 branches 中删除 .env
git filter-branch --force --index-filter \
  'git rm --cached --ignore-unmatch .env' \
  --prune-empty --tag-name-filter cat -- --all

# 3. 清理引用
git for-each-ref --format='delete %(refname)' refs/original | \
  git update-ref --stdin

# 4. 清理 reflog 和垃圾回收
git reflog expire --expire=now --all
git gc --prune=now --aggressive

# 5. 强制推送到远程
git push origin --force --all
git push origin --force --tags

方法三：使用 git filter-repo（现代替代方案）

Git 官方推荐用 git filter-repo 替代 filter-branch：

# 1. 安装 filter-repo
pip install git-filter-repo
# 或
brew install git-filter-repo

# 2. 删除 .env 文件
git filter-repo --path .env --invert-paths

# 3. 重新添加远程仓库（filter-repo 会删除远程配置）
git remote add origin https://github.com/your-username/your-repo.git

# 4. 强制推送
git push origin --force --all
git push origin --force --tags

⚠️ 清理后的重要步骤

# 1. 通知所有协作者
# 所有人需要重新克隆仓库，而不是 pull

# 2. 协作者需要执行（不要直接 pull）
git fetch origin
git reset --hard origin/main  # 或你的主分支名

# 3. 如果有未合并的本地工作
git rebase origin/main

🔒 最佳实践建议

1. 添加 .gitignore

# 防止再次提交
echo ".env" >> .gitignore
echo ".env.local" >> .gitignore
echo ".env.*.local" >> .gitignore
git add .gitignore
git commit -m "Add .env to .gitignore"

2. 使用 .env.example 作为模板

# .env.example (提交到仓库)
DB_HOST=localhost
DB_PORT=3306
DB_USER=your_username
DB_PASSWORD=your_password
API_KEY=your_api_key

# .env (不提交，本地使用)
DB_HOST=localhost
DB_PORT=3306
DB_USER=admin
DB_PASSWORD=real_password_here
API_KEY=sk-real-key-123456

3. 轮换所有暴露的密钥

# 即使从历史中删除，也要立即更换：
# - 数据库密码
# - API Keys
# - OAuth tokens
# - 加密密钥
# 因为已经暴露的密钥可能已被他人获取

4. 使用 pre-commit hook 防止提交

# .git/hooks/pre-commit
#!/bin/sh
if git diff --cached --name-only | grep -q "^\.env$"; then
    echo "错误: 不能提交 .env 文件!"
    exit 1
fi

性能对比