Skip to main content
We publish frequent updates to our documentation, and translation of this page may still be in progress. For the most current information, please visit the English documentation.

机密扫描模式

支持的机密列表和 GitHub 与之合作的合作伙伴,以防止欺诈性使用意外提交的机密。

Secret scanning alerts for partners 自动在所有公共存储库上运行。 如果你拥有 GitHub Advanced Security 的许可证,则可以为组织拥有的任何存储库启用和配置 secret scanning alerts for users。

如果你的企业拥有 GitHub Advanced Security 的许可证,则 有关详细信息,请参阅“关于 secret scanning alerts for users”和“关于 GitHub Advanced Security”。

关于 secret scanning 模式

GitHub Enterprise Cloud 维护这些不同的 secret scanning 模式:

  1. 合作伙伴模式。 用于检测所有公共存储库中的潜在机密。 有关详细信息,请参阅“合作伙伴警报支持的机密”。
  2. 用户警报模式。 用于检测启用了 secret scanning alerts for users 的存储库中的潜在机密。 有关详细信息,请参阅“用户警报支持的机密”。
  3. 推送保护模式。 用于检测启用了作为推送保护的 secret scanning 的存储库中的潜在机密。 有关详细信息,请参阅“推送保护支持的机密”。

合作伙伴警报支持的机密

GitHub Enterprise Cloud 当前扫描公共存储库,查找由以下服务提供商颁发的机密,并在提交中检测到机密时向相关服务提供商发出警报。 有关 secret scanning alerts for partners 的详细信息,请参阅“关于 secret scanning alerts for partners”。

如果访问资源需要配对的凭据,则只有在同一文件中检测到该配对的两个凭据时,机密扫描才会创建警报。 这可确保最关键的泄漏不会隐藏在有关部分泄漏的信息后面。

Partner支持的密钥
Adafruit IOAdafruit IO 密钥
AdobeAdobe 设备令牌
AdobeAdobe 服务令牌
AdobeAdobe 短暂访问令牌
AdobeAdobe JSON Web 令牌
Alibaba CloudAlibaba 云端访问密钥 ID 和访问密钥对
Amazon Web Services (AWS)Amazon AWS 访问密钥 ID 和秘密访问密钥对
AtlassianAtlassian API 令牌
AtlassianAtlassian JSON Web 令牌
AzureAzure Active Directory 应用程序密钥
AzureAzure Batch 可识别密钥
AzureAzure CosmosDB 可识别密钥
AzureAzure DevOps Personal Access Token
AzureAzure ML 工作室(经典)Web 服务密钥
AzureAzure SAS 令牌
AzureAzure 搜索管理密钥
AzureAzure 搜索查询密钥
AzureAzure 服务管理证书
AzureAzure SQL 连接字符串
AzureAzure 存储帐户密钥
Checkout.comCheckout.com 生产密钥
Checkout.comCheckout.com 测试密钥
Chief 工具Chief 工具令牌
ClojarsClojars 部署令牌
CloudBees CodeShipCloudBees CodeShip 凭据
参与的系统参与的系统凭据
Crates.ioCrates.io API 令牌
DatabricksDatabricks 访问令牌
DatadogDatadog API 密钥
DevCycleDevCycle 客户端 API 密钥
DevCycleDevCycle 服务器 API 密钥
DigitalOceanDigitalOcean Personal Access Token
DigitalOceanDigitalOcean OAuth 令牌
DigitalOceanDigitalOcean 刷新令牌
DigitalOceanDigitalOcean 系统令牌
DiscordDiscord 自动程序令牌
DopplerDoppler 个人令牌
DopplerDoppler 服务令牌
DopplerDoppler CLI 令牌
DopplerDoppler SCIM 令牌
DopplerDoppler 审核令牌
DropboxDropbox 访问令牌
DropboxDropbox 短暂访问令牌
DynatraceDynatrace 访问令牌
DynatraceDynatrace 内部令牌
FigmaFigma Personal Access Token
FinicityFinicity App 密钥
Frame.ioFrame.io JSON Web 令牌
Frame.ioFrame.io Developer 令牌
FullStoryFullStory API 密钥
GitHubGitHub Personal Access Token
GitHubGitHub OAuth 访问令牌
GitHubGitHub 刷新令牌
GitHubGitHub App 安装访问令牌
GitHubGitHub SSH 私钥
GoCardlessGoCardless 实时访问令牌
GoCardlessGoCardless Sandbox 访问令牌
Google CloudGoogle API 密钥
Google CloudGoogle Cloud 私钥 ID
Hashicorp TerraformTerraform Cloud / Enterprise API 令牌
HubspotHubspot API 密钥
HubspotHubspot API 个人访问密钥
IonicIonic Personal Access Token
IonicIonic 刷新令牌
JD CloudJD Cloud 访问密钥
线性线性 API 密钥
线性线性 OAuth 访问令牌
LocalStackLocalStack API 密钥
MailchimpMailchimp API 密钥
MailchimpMandril API 密钥
MailgunMailgun API 密钥
MessageBirdMessageBird API 密钥
元数据Facebook Access Token
npmnpm 访问令牌
NuGetNuGet API 密钥
Octopus 部署Octopus 部署 API 密钥
OpenAIOpenAI API 密钥
PalantirPalantir JSON Web 令牌
PlanetScalePlanetScale 数据库密码
PlanetScalePlanetScale OAuth 令牌
PlanetScalePlanetScale 服务令牌
PlivoPlivo 身份验证 ID 和令牌
PostmanPostman API 密钥
PrefectPrefect 服务器 API 密钥
PrefectPrefect 用户 API 令牌
ProctorioProctorio 消费者密钥
ProctorioProctorio 链接密钥
ProctorioProctorio 注册密钥
ProctorioProctorio 密钥
PulumiPulumi 访问令牌
PyPIPyPI API 令牌
ReadMeReadMe API 访问密钥
redirect.pizzaredirect.pizza API 令牌
RubyGemsRubyGems API 密钥
SamsaraSamsara API 令牌
SamsaraSamsara OAuth 访问令牌
Segment细分公共 API 令牌
SendGridSendGrid API 密钥
SendinblueSendinblue API 密钥
SendinblueSendinblue SMTP 密钥
ShopifyShopify App 共享密钥
ShopifyShopify 访问令牌
ShopifyShopify 自定义应用访问令牌
ShopifyShopify 私人应用密码
SlackSlack API 令牌
SlackSlack 传入 web 挂钩 URL
SlackSlack 工作流程 web 挂钩 URL
SSLMateSSLMate API 密钥
SSLMateSSLMate 集群密钥
StripeStripe Live API 密钥
StripeStripe 测试 API 密钥
StripeStripe Live API 限制密钥
StripeStripe 测试 API 限制密钥
SupabaseSupabase 服务密钥
TelnyxTelnyx API V2 密钥
Tencent Cloud腾讯云密钥 ID
腾讯微信腾讯微信 API 应用 ID
TwilioTwilio 帐户字符串标识符
TwilioTwilio API 密钥
TypeformTypeform Personal Access Token
UniwiseWISEflow API 密钥
ValourValour 访问令牌
YandexYandex.Cloud API 密钥
YandexYandex.Cloud IAM Cookie
YandexYandex.Cloud IAM 令牌
YandexYandex.Dictionary API 密钥
YandexYandex.Cloud 访问机密
YandexYandex.Passport OAuth 令牌
ZuploZuplo 使用者 API

用户警报支持的机密

当 secret scanning alerts for users 启用时,GitHub 会扫描存储库中以下服务提供商发布的机密,并生成 secret scanning alerts。 可以在存储库的“安全性”选项卡上看到这些警报。 有关 secret scanning alerts for users 的详细信息,请参阅“关于 secret scanning alerts for users”。

如果访问资源需要配对的凭据,则只有在同一文件中检测到该配对的两个凭据时,机密扫描才会创建警报。 这可确保最关键的泄漏不会隐藏在有关部分泄漏的信息后面。

如果使用 REST API 进行机密扫描,可以使用 Secret type 报告来自特定颁发者的机密。 有关详细信息,请参阅“机密扫描”。

注意: 还可以为存储库、组织或企业定义自定义 secret scanning 模式。 有关详细信息,请参阅“定义 secret scanning 的自定义模式”。

提供程序支持的密钥机密类型
Adafruit IOAdafruit IO 密钥adafruit_io_key
AdobeAdobe 设备令牌adobe_device_token
AdobeAdobe 服务令牌adobe_service_token
AdobeAdobe 短暂访问令牌adobe_short_lived_access_token
AdobeAdobe JSON Web 令牌adobe_jwt
Alibaba CloudAlibaba 云访问密钥 ID 与 Alibaba 云访问密钥机密alibaba_cloud_access_key_id
alibaba_cloud_access_key_secret Amazon

推送保护支持的机密

Secret scanning 作为推送保护,当前扫描存储库,查找以下服务提供商发布的机密。

如果访问资源需要配对的凭据,则只有在同一文件中检测到该配对的两个凭据时,机密扫描才会创建警报。 这可确保最关键的泄漏不会隐藏在有关部分泄漏的信息后面。

提供程序支持的密钥机密类型
Adafruit IOAdafruit IO 密钥adafruit_io_key
Alibaba CloudAlibaba 云访问密钥 ID 与 Alibaba 云访问密钥机密alibaba_cloud_access_key_id
alibaba_cloud_access_key_secret
AmazonAmazon OAuth 客户端 ID 与 Amazon OAuth 客户端密码amazon_oauth_client_id
amazon_oauth_client_secret
Amazon Web Services (AWS)Amazon AWS 访问密钥 ID 与 Amazon AWS 机密访问密钥aws_access_key_id
aws_secret_access_key
Amazon Web Services (AWS)Amazon AWS 会话令牌与 Amazon AWS 临时访问密钥 ID 和 Amazon AWS 机密访问密钥aws_session_token
aws_temporary_access_key_id
aws_secret_access_key
AsanaAsana Personal Access Tokenasana_personal_access_token
AtlassianBitbucket Server Personal Access Tokenbitbucket_server_personal_access_token
AzureAzure Active Directory 应用程序密钥azure_active_directory_application_secret Azure

延伸阅读