有一个开源工具BFG可以实现这样的功能
对于已经拉取下来的代码，无能为力，因为别人已经看到了

安装JAVA环境

下载 jdk-8u201-windows-x64.exe，一路回车
配置环境变量
JAVA_HOME=C:\Program Files\Java\jdk1.8.0_201
PATH中添加：
%JAVA_HOME%\bin
%JAVA_HOME%\jre\bin
CLASSPATH=.;%JAVA_HOME%\lib;%JAVA_HOME%\lib\dt.jar;%JAVA_HOME%\lib\tools.jar

清洗代码

因为Gitlab默认开启了分支保护，不允许强制推送，需要关闭分支保护
git clone --mirror git://example.com/some-big-repo.git
删除大文件：
java -jar bfg.jar --strip-blobs-bigger-than 100M --replace-text password.txt repo.git
cd repo.git
git reflog expire --expire=now --all
git gc --prune=now --aggressive
git push

不知什么原因，倒数二三行推送不到Gitlab，需要登陆服务器单独执行
线上git目录：/var/opt/gitlab/git-data/repositories
清洗完毕，客户端需要执行 git reset --hard origin/master 来避免再次提交敏感信息 ，最后开启分支保护