Переписывание всей истории репозитория

Проблема в глубине: секрет в старом коммите есть в каждой версии истории, поэтому переписать надо всё. История Git — это цепочка, где хеш каждого коммита вычисляется из его содержимого и хеша его родителя. Секрет, закоммиченный давно, присутствует в дереве того коммита и наследуется вперёд каждым потомком. Повседневные инструменты отмены до него не дотягиваются — git revert добавляет новый коммит, git rebase -i правит недавние коммиты, но ни один не стирает содержимое из коммитов сотни шагов назад. Нужен инструмент, который проходит весь граф коммитов и пересобирает каждый коммит без вредного содержимого.

git filter-repo — современный, рекомендуемый инструмент для переписывания всей истории. Это отдельная установка (pip install git-filter-repo), не встроенная в Git, и по задумке он работает на свежем клоне. Чтобы убрать путь из всей истории:

# Вычистить файл из каждого коммита, где он когда-либо был
git filter-repo --path config/prod.env --invert-paths

--path выбирает файл; --invert-paths инвертирует выбор, превращая его в «сохранить всё, кроме этого». Чтобы вытереть значение секрета везде, где оно встречается (даже в файлах, которые ты сохраняешь), используй файл замен:

# secrets.txt содержит:  AKIA...EXAMPLE==>REMOVED
git filter-repo --replace-text secrets.txt

filter-repo переписывает каждый коммит, удаляя файл или редактируя текст, и он драматически быстрее и безопаснее старых альтернатив.

git filter-branch устарел; BFG Repo-Cleaner — другой принятый вариант. Ты ещё встретишь filter-branch в старых ответах — но документация самого Git теперь предупреждает против него: он чудовищно медленный на реальных репо и усеян ловушками (тихо неверно обрабатывает краевые случаи и может оставить наполовину переписанную историю). Проект Git явно рекомендует вместо него filter-repo. Для узкой задачи удаления больших блобов или известных секретов есть BFG Repo-Cleaner — быстрый, простой Java-инструмент (bfg --delete-files prod.env, bfg --replace-text secrets.txt). Бери filter-repo для общих переписываний и BFG, когда подходит его более узкий набор функций; избегай filter-branch.

Каждый хеш коммита меняется, поэтому переписывание — лишь половина работы; последствия обязательны. Поскольку каждый хеш зависит от содержимого и родителя, пересборка коммита даёт новый SHA, и каждый коммит после него тоже получает новый SHA. Переписанная история — это другая цепочка, разошедшаяся с тем, что держат удалённый сервер и каждый клон. Должны последовать три вещи:

# 1. Принудительно положить новую историю на удалённый сервер (перезаписать старую цепочку)
git push --force-with-lease --all
git push --force-with-lease --tags

2. Все должны сделать re-clone или жёсткий reset. У любого со старым клоном по-прежнему есть и секрет, и старые хеши; обычный git pull попытается влить старую историю обратно. Коллеги должны выбросить свои копии и склонировать заново.

3. Ротировать секрет. Это не обсуждается и не зависит от Git. Ключ был раскрыт — он может быть закеширован на GitHub, в форках, в логах CI, в чьём-то скроллбэке терминала или уже собран ботом. Переписывание истории убирает его вперёд, но не может «раз-утечь» то, что было публичным. Отзови и перевыпусти учётные данные.