阻止含暴露密钥的合并请求被合入

事件核心：发生了什么

GitHub Changelog 于 2026 年 9 月 9 日发布更新，宣布仓库规则集（Repository rulesets）正式支持阻止引入密钥扫描告警的 Pull Request 合入。管理员可在仓库、组织或企业设置中，针对目标分支启用新规则“要求解决密钥扫描告警”（Require secret scanning alerts are resolved）。该规则在 Pull Request 合入前检查两点：头提交已完成密钥扫描，且该 PR 提交未引入任何处于开启状态的密钥告警。规则默认拦截通过提供商模式检测到的密钥，管理员也可额外配置拦截自定义模式或通用模式。该功能即日起面向拥有 GitHub Secret Protection 或 GitHub Advanced Security 的客户开放公开预览，并已支持通过 REST API 或 GraphQL 进行配置。

为什么重要

这是 GitHub 在软件供应链安全链条上补齐的一个关键环节。此前，Push Protection 负责在开发者把密钥推送到远端前将其拦截，但许多团队出于误报或灵活性考虑，并未对所有密钥类型启用该功能，例如通用模式的密钥检测常被关闭。新规则将防护重心从“推送前”延伸至“合入前”，在 Pull Request 审查阶段形成一道独立于开发流程的强制校验层。对于采用分支保护、要求 PR 审查的企业团队来说，这意味着即使某个密钥因各种原因绕过了推送拦截，也无法随代码变更进入主干分支。这一规则为安全策略提供了更细粒度的可编程能力，在集中管理密钥扫描告警的同时，不干扰开发者的本地提交体验。

对用户/开发者/创作者的影响

对于使用 GitHub 的软件开发团队，尤其是已采购 GitHub Advanced Security 的企业，这项更新直接降低了密钥泄露进入生产代码的风险。安全管理员可以在组织层面统一下发规则，无需依赖每个开发者自觉规避或依赖 Push Protection 的单点拦截。对普通开发者而言，如果所在仓库启用了此规则，合入 PR 前需自行解决所有引入的密钥告警，否则合入会被阻断——除非开发者具备规则绕过权限。对于依赖 CI/CD 流水线的团队，建议检查现有自动化流程是否与新的合入钩子兼容，避免 PR 因告警未被识别而卡在合并阶段。目前公开信息显示，该规则为公开预览阶段，尚未公布正式计费方案。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

值得关注的后续

一是该规则是否会与代码扫描、依赖审查等现有仓库规则进一步联动，形成统一的安全策略引擎；二是 GitHub 是否会在正式版中为规则绕过权限增加更精细的审计日志，以满足合规审计需求；三是 GitLab、Bitbucket 等竞品平台是否会跟进在 Merge Request 层面提供等效的密钥告警阻断能力，推动行业形成默认安全基线。

来源：GitHub Changelog