解决机密扫描产生的警报

查看机密扫描警报的详细信息后，你应修复警报并随后关闭它。

谁可以使用此功能？

Repository owners, organization owners, security managers, users assigned to 机密扫描警报, commit authors, and users with the admin role

本文内容

修复警报

只要密码被提交到仓库，便应视为受到威胁。 GitHub 针对泄露的机密推荐以下操作：

  • 验证提交到 GitHub 的机密是否有效。
  • 审查并更新所有使用旧令牌的服务。 对于 GitHub personal access token，删除泄露的令牌并创建新令牌。 请参阅“管理个人访问令牌”。
  • 根据机密提供商的不同，检查安全日志以查看是否存在任何未授权活动。

关闭警报

注意

Secret scanning 不会在从存储库中移除相应的令牌时自动关闭警报。 你必须在 GitHub 的警报列表中手动关闭这些警报。

  1. 在 GitHub 上，导航到存储库的主页面。

  2. 在仓库名称下，单击 “Security”****。 如果看不到“Security”选项卡，请选择 下拉菜单，然后单击“Security”********。

    存储库标头的屏幕截图，其中显示了选项卡。 “安全性”选项卡以深橙色边框突出显示。

  3. 在左侧边栏的“漏洞警报”下方，单击 Secret scanning。

  4. 在“Secret scanning”下，单击要查看的警报。

  5. 要消除警报，请选择“关闭原因”下拉菜单，然后单击原因以解决警报。

    secret scanning 警报的屏幕截图。 标题为“关闭为”的下拉菜单已展开，并用深橙色边框突出显示。

  6. （可选）在“注释”字段中，添加消除注释。 消除操作注释将添加到警报时间线，可在审核和报告期间用作理由。 可以在警报时间线中查看所有已消除警报和消除注释的历史记录。 还可以使用 Secret scanning API 检索或设置注释。 注释包含在 resolution_comment 字段中。 有关详细信息，请参阅 REST API 文档中的“适用于机密扫描的 REST API 终结点”。

  7. 单击“关闭警报”****。

Next steps

  •           [AUTOTITLE](/code-security/secret-scanning/managing-alerts-from-secret-scanning/monitoring-alerts)