#!/usr/bin/env bash
# B3 — Secret bị commit → secrets-scan chặn (supply chain)
# cwd = thư mục gốc dự án. Offline OK. (Chạy trong repo git thật cho kết quả sạch nhất)

bash .specify/scripts/bash/secrets-scan.sh; echo "exit=$?"
git ls-files 2>/dev/null | grep -i '\.pem$' || echo 'no private key tracked'

# Kỳ vọng: Secrets scan: PASS=6 FAIL=0 · exit=0 · chỉ public key trong repo