管理来自机密扫描的警报

本文内容

您可以查看并关闭已检入仓库的密码的警报。

谁可以使用此功能

People with admin access to a public repository can view and dismiss secret scanning alerts for the repository.

合作伙伴的机密扫描警报在 GitHub.com 上的公共存储库和公共 npm 包中自动运行，以向服务提供商通知泄漏的机密情况。

用户的机密扫描警报在所有公共存储库上免费提供。使用 GitHub Enterprise Cloud 且拥有 GitHub Advanced Security 许可证的组织也可以在其专用存储库和内部存储库上启用用户的机密扫描警报。

如果你的企业拥有 GitHub Advanced Security 的许可证，则有关详细信息，请参阅 “关于机密扫描”和“关于 GitHub 高级安全性”。

注意：仅为启用了用户的机密扫描警报的存储库创建警报。使用免费合作伙伴的机密扫描警报服务在公共存储库和公共 npm 包中发现的机密将直接报告给合作伙伴，而无需创建警报。有关详细信息，请参阅“机密扫描模式”。

在 GitHub.com 上，导航到存储库的主页。
在存储库名称下，单击“ 安全性”。如果看不到“安全性”选项卡，请选择下拉菜单并单击“安全性” 。
在左边栏的“漏洞警报”下，单击“Secret scanning”。
在“Secret scanning”下，单击要查看的警报。
（可选）如果泄露的机密是 GitHub 令牌，则还可以查看令牌元数据。有关查看令牌元数据的详细信息，请参阅“查看GitHub 令牌元数据”。
若要消除警报，请选择“关闭原因”下拉菜单，然后单击原因以解决警报。
（可选）在“注释”字段中，添加消除注释。消除操作注释将添加到警报时间线，可在审核和报告期间用作理由。可以在警报时间线中查看所有已消除警报和消除注释的历史记录。还可以使用 Secret scanning API 检索或设置注释。注释包含在 resolution_comment 字段中。有关详细信息，请参阅 REST API 文档中的“机密扫描”。
单击“关闭警报”。

注意：GitHub 令牌的元数据目前为公共 beta 版本，可能会有变动。

在活动的 GitHub 令牌警报视图中，可以查看有关令牌的某些元数据。此元数据可以帮助你识别令牌，并确定要采取的修正步骤。有关查看单个警报的详细信息，请参阅“管理 secret scanning 警报”。

令牌（如personal access token和其他凭据）被视为个人信息。有关使用 GitHub令牌的详细信息，请参阅 GitHub 的隐私声明和可接受的使用政策。

GitHub 令牌的 UI 的屏幕截图，其中显示了令牌元数据。

GitHub 令牌的元数据可用于任何启用了机密扫描的存储库的活动令牌。如果令牌已被撤销或无法验证其状态，则元数据将不可用。 GitHub 会自动撤销公共存储库中的 GitHub 令牌，因此公共存储库中 GitHub 令牌的元数据极有可能不可用。以下元数据可用于活动的 GitHub 令牌：

只要密码被提交到仓库，便应视为受到威胁。 GitHub 建议对受到威胁的密码执行以下操作：

对于受到威胁的 GitHub personal access token，请删除受到威胁的令牌，创建新令牌，然后更新使用旧令牌的任何服务。有关详细信息，请参阅“管理个人访问令牌”。
对于所有其他机密，请先确认提交到 GitHub 的机密是有效的。如果有效，请创建新机密，更新使用旧机密的所有服务，然后删除旧机密。

注意：如果在 GitHub.com 上的公共存储库中检测到机密，并且该机密也与合作伙伴模式匹配，则会生成警报，并将潜在的机密报告给服务提供商。有关合作伙伴模式的详细信息，请参阅“机密扫描模式”。