在歷史紀錄中定位憑證
在重寫歷史紀錄之前，先找出所有包含機敏資料的 commit。可以用 git log 來找：
git log -p -S "SECRET_STRING"清理歷史紀錄
有兩種常見的方法來改寫 Git 歷史紀錄。現代標準是 git-filter-repo，但標準的 git filter-branch 在所有 Git 安裝中都可以用。
使用 git filter-branch
Tree filter 允許在每個 commit 的 checkout 過程中執行 shell 腳本。為了防止 git filter-branch 因為警告而停下等待，請設定 FILTER_BRANCH_SQUELCH_WARNING=1 環境變數。
建立一個 bash 腳本來將機密取代為預位符：
!/bin/bash
if [ -f path/to/file ]; then
sed -i 's/SECRET_STRING/PLACEHOLDER/g' path/to/file
fi設定可執行：
chmod +x clean.sh從引入洩漏之 commit 的 parent 開始進行重寫（例如 INTRODUCED_COMMIT~1）：
FILTER_BRANCH_SQUELCH_WARNING=1 git filter-branch -f --tree-filter /absolute/path/to/clean.sh INTRODUCED_COMMIT~1..HEAD使用 git-filter-repo
現代工具 git-filter-repo 比 git filter-branch 更安全快速。如果已經安裝，執行簡單的搜尋取代指令即可：
git-filter-repo --replace-text <(echo "SECRET_STRING==>PLACEHOLDER")這會自動更新儲存庫歷史紀錄中的所有參照。
更新已 checkout 的分支
如果重寫是在臨時分支上進行的，其他分支（像是 master）仍然包含舊的 commit。請藉由將其指標重設為重寫後的 HEAD 來更新它們：
git checkout target-branch
git reset --hard rewritten-branch-or-commit如果本地端有未 commit 的變更，建議先不要這麼做，因為 hard reset 會捨棄這些變更。
管理鎖定的分支與工作區 (Worktree)
如果 Git 因為分支已在 worktree 中 checkout 而拒絕刪除它，請找出該 worktree：
git worktree list使用其路徑來移除 worktree：
git worktree remove /path/to/worktree一旦 worktree 被移除，該分支就會被解鎖，並可以安全地刪除：
git branch -d branch-name更新遠端儲存庫
如果重寫後的 commit 已經推送到遠端伺服器，標準的 push 會因為歷史紀錄分歧而失敗。必須強制推送以更新伺服器：
git push origin branch-name --force請通知其他協作者，因為他們需要 fetch 並將其本地分支重設為新的歷史紀錄。