# 评估机密扫描警报 了解可帮助你评估警报并确定其修复优先级的额外功能，例如检查机密的有效性。 ## 关于评估警报 有一些额外功能可帮助你评估警报，以便更好地确定其优先级并进行管理。 您可以： * 检查机密的有效性，了解机密是否仍处于活动状态。 请参阅 [检查机密的有效性](#checking-a-secrets-validity)。 * 执行“按需”有效性检查，以获取最新的验证状态。 请参阅 [“执行按需有效性检查](#performing-an-on-demand-validity-check)”。 * 查看令牌的元数据。 **仅适用于GitHub令牌**。 例如查看上次使用令牌的时间。 请参阅 [“查看 GitHub 令牌元数据](#reviewing-github-token-metadata)”。 ## 检查机密的有效性 验证检查让您知道哪些机密属于 `active` 或 `inactive` 机密，帮助你排列 警报优先级。 `active` 机密是仍可能被利用的机密，因此应该优先审查和修正它们的警报。 默认情况下， GitHub 检查令牌的有效性 GitHub ，并在警报视图中显示令牌的验证状态。 使用 GitHub Team、将 GitHub Enterprise Cloud 与 GitHub Secret Protection 许可证或将 GitHub Enterprise Server 与 GitHub Secret Protection 许可证配合的组织还可以启用合作伙伴模式有效性检查。 有关详细信息，请参阅 [检查机密的有效性](/zh/enterprise-server@3.22/code-security/tutorials/remediate-leaked-secrets/evaluating-alerts#checking-a-secrets-validity)。 | 有效期 | Status | 结果 | | ----------- | ---------- | -------------------------------- | | 活动机密 | `active` | GitHub 向此机密的提供者进行了核实，发现此机密处于活动状态 | | 可能处于活动状态的机密 | `unknown` | GitHub 尚不支持对此令牌类型进行验证检查 | | 可能处于活动状态的机密 | `unknown` | GitHub 无法验证此机密 | | 机密处于非活动状态 | `inactive` | 应确保未发生未经授权的访问 | 合作伙伴模式的有效性检查可用于以下存储库类型： * 组织拥有的存储库位于 GitHub Enterprise Server 上，并启用了 [GitHub Secret Protection](/zh/enterprise-server@3.22/get-started/learning-about-github/about-github-advanced-security) 有关如何为合作伙伴模式启用有效性检查的信息，请参阅 [为存储库启用有效性检查](/zh/enterprise-server@3.22/code-security/how-tos/secure-your-secrets/customize-leak-detection/enable-validity-checks)，以及当前支持哪些合作伙伴模式的信息，请参阅 [支持的机密扫描模式](/zh/enterprise-server@3.22/code-security/reference/secret-security/supported-secret-scanning-patterns)。 可以使用在企业或组织级别设置的安全配置，为合作伙伴模式启用有效性检查。 请参阅 [为企业创建自定义安全配置](/zh/enterprise-server@3.22/code-security/how-tos/secure-at-scale/configure-enterprise-security/establish-complete-coverage/create-custom-configuration) 和 [删除自定义安全配置](/zh/enterprise-server@3.22/code-security/how-tos/secure-at-scale/configure-organization-security/establish-complete-coverage/create-custom-configuration)。 有关当前支持哪些合作伙伴模式的信息，请参阅 [支持的机密扫描模式](/zh/enterprise-server@3.22/code-security/reference/secret-security/supported-secret-scanning-patterns)。 可以使用 REST API 检索每个令牌的最新验证状态的列表。 有关详细信息，请参阅 REST API 文档中的“[适用于机密扫描的 REST API 终结点](/zh/enterprise-server@3.22/rest/secret-scanning)”。 您还可以使用 Webhook 接收与 secret scanning 警报相关活动的通知。 有关更多信息，请参阅 `secret_scanning_alert` 中的 [](/zh/enterprise-server@3.22/webhooks/webhook-events-and-payloads?actionType=created#secret_scanning_alert) 事件。 ## 执行按需验证检查 为存储库的合作伙伴模式启用有效性检查后，可以通过在警报视图中单击“ ** 验证机密** ”，对任何受支持的机密执行“按需”有效性检查。 GitHub 将向相关合作伙伴发送模式，并在警报视图中显示机密的验证状态。 ![显示 secret scanning 警报的用户界面的屏幕截图。 标有“验证机密”的按钮以橙色轮廓突出显示。](/assets/images/help/security/secret-scanning-verify-secret.png) ## 查看 GitHub 令牌元数据 > \[!NOTE] > GitHub 令牌的元数据目前在 公开预览 且可能会更改。 在处于活动状态的 GitHub 令牌警报视图中，您可以查看有关该令牌的一些元数据。 此元数据可以帮助你识别令牌，并确定要采取的修正步骤。 诸如 personal access token 之类的令牌和其他凭据均被视为个人信息。 有关使用 GitHub 令牌的详细信息，请参阅 [GitHub 的隐私声明](/zh/site-policy/privacy-policies/github-general-privacy-statement)和 [Acceptable Use Policies](/zh/site-policy/acceptable-use-policies/github-acceptable-use-policies)。 ![GitHub 令牌的 UI 的屏幕截图，其中显示了令牌元数据。](/assets/images/help/repository/secret-scanning-github-token-metadata.png) GitHub 令牌的元数据可用于启用了机密扫描的任何存储库中的活动令牌。 如果令牌已被撤销或无法验证其状态，则元数据将不可用。 GitHub 自动撤销 GitHub 公共存储库中的令牌，因此公共存储库中令牌的 GitHub 元数据不太可能可用。 以下元数据可用于处于活动状态的 GitHub 令牌： | Metadata | Description | | -------- | ------------------- | | 机密名称 | 创建者为 GitHub 令牌提供的名称 | | 机密所有者 | 令牌所有者的 GitHub 句柄 | | 创建时间 | 令牌的创建日期 | | 过期日期 | 令牌的过期日期 | | 上次使用时间 | 上次使用令牌的日期 | | Access | 令牌是否具有组织访问权限 | 只有对包含已泄露机密的存储库具有管理员权限的人员才能查看安全警报详细信息和警报的令牌元数据。 企业所有者可以出于此目的请求对存储库的临时访问权限。 如果授予访问权限， GitHub 将通知包含泄露机密的存储库的所有者，报告存储库所有者和企业审核日志中的操作，并启用访问 2 小时。