一句话看懂：GitHub Enterprise 允许企业所有者导出一份完整的凭证清单，把 SSH 密钥、各类 Personal Access Token、OAuth 与 GitHub App 令牌集中到一张表或一个 API 里。它的价值在于把平时散落各处的“钥匙”变成可盘点、可关联审计日志的资产台账。
事件核心：发生了什么
根据 GitHub Changelog 2026 年 9 月 21 日的更新，GitHub Enterprise 所有者现在可以导出企业内所有能访问该企业的凭证清单，覆盖 SSH 密钥、经典版与细粒度 Personal Access Token、OAuth App 访问令牌，以及 GitHub App 的 user-to-server 和 installation 令牌。
操作路径是企业设置中的 Authentication Security → Credentials，在 Overview 区域旁使用“Export CSV”；也可以通过新增的分页 REST API 以编程方式获取。拥有“View enterprise credentials”细粒度权限的企业所有者与成员，可以按用户、应用、凭证类型或组织筛选，查看所有者、作用域与权限、创建与过期时间、最后使用时间，以及目标组织或仓库等元数据，并将凭证与审计日志活动做关联。
为什么重要
企业安全事件中，最耗时的环节往往不是发现漏洞本身，而是判断“哪些令牌可能已泄露、它们能碰到什么”。过去这类信息分散在成员、应用和集成之间，安全团队只能临时人工排查。凭证清单把风险面从模糊描述变成可枚举的列表，让泄露响应从“凭经验猜测”转向“按清单评估与补救”。
对 GitHub 而言，这也是企业级治理能力的补强：在 CI/CD、自动化脚本和第三方 App 大量依赖令牌的今天，凭证治理不再是附属功能，而是平台可信度的一部分。该功能目前面向 GitHub Enterprise Cloud 提供，GitHub 表示后续版本将支持 GitHub Enterprise Server。
对用户/开发者/创作者的影响
普通个人开发者基本不受影响，这个能力属于企业级管理面。企业内的开发者与平台工程师则可能感受到更明确的安全流程：安全团队可以定期导出清单，识别长期未使用、权限过大或已过期的令牌，并推动清理。对使用 REST API 做自动化的团队来说，新端点意味着可以把凭证盘点接入自有报表、告警或合规流水线，而不必依赖人工导出 CSV。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
对依赖 GitHub App 和 OAuth 集成的 SaaS 工具与 AI 编码助手而言，企业客户在采购和续约时可能开始要求提供令牌权限说明。这会把凭证透明度变成一项更常见的准入条件。
值得关注的后续
一是 GitHub Enterprise Server 的实际支持时间与版本，目前公开信息只说明“在后续版本中支持”，尚无具体日期。二是该 REST API 的频率限制、字段完整性与权限边界，这会直接影响自动化盘点方案的可行性。三是企业是否会把这份清单与 SIEM、密钥扫描或轮换流程打通，真正形成闭环，而不是停留在事件发生时才导出一次。
