一句话看懂：GitHub 的密钥扫描现在能检查 GitHub Actions 工作流运行日志中的密钥泄露，补上了代码、Issue、Wiki、讨论和 PR 之外的又一处常见泄露入口，该功能目前在企业版处于公开预览。
事件核心：发生了什么
根据 GitHub Changelog 于 2026 年 11 月 9 日发布的信息，secret scanning 的检测范围从代码、Issue、Wiki、讨论和拉取请求，扩展到了 GitHub Actions 工作流日志。工作流运行结束后，GitHub 会扫描日志中的供应商密钥格式；发现结果会进入仓库的密钥扫描告警列表，并附上指向对应日志的链接。支持的类型还会做有效性验证，而且即使日志后来被删除，告警依然保留。
该能力面向 GitHub Enterprise Cloud 上启用了 GitHub Secret Protection 或 GitHub Advanced Security 的企业，包括使用 GHE.com 数据驻留的客户。企业所有者需在设置中依次进入 Policies、Advanced Security，在 All repositories 下拉项中选择 Enabled 才能开启；该策略默认关闭，仅对已启用密钥扫描的仓库生效。
为什么重要
CI/CD 日志长期是密钥泄露的盲区。开发者在调试脚本时容易把令牌、API Key 打印到标准输出，而这些内容会随日志留存并被团队成员访问，传统密钥扫描却主要盯着代码仓库本身。把检测延伸到 Actions 日志，意味着安全防线从“提交内容”推进到“运行过程”，对企业 DevSecOps 流程是实质性的补强。
这也反映出供应链安全的一个趋势：泄露面在扩大，防护点必须跟着前移。GitHub 选择先在企业版预览而非全量开放，说明该功能仍处于验证阶段。
对用户/开发者/创作者的影响
使用 GitHub Actions 的开发者应重新审视工作流中的日志输出习惯，避免直接 echo 敏感变量。企业管理员若已购买相应许可证，可以在企业设置中评估开启；个人免费用户和普通仓库目前不在该预览范围内。需要注意，预览版仅扫描开启之后完成的工作流运行，历史日志不会回填；通用模式、自定义模式、AI 检测的密钥，以及已被 Actions 自身掩码的内容都不会被识别。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
另一个实际限制是：预览期间，来自 Actions 日志的告警不会触发通知，团队需要主动查看仓库的密钥扫描告警列表，否则容易漏掉。
值得关注的后续
一是预览期结束后是否向更多套餐层级开放、是否补齐通知能力；二是通用模式、自定义模式等目前不支持的检测类型能否纳入；三是历史日志回填是否会提供，以及日志保留策略与安全审计之间如何平衡。对已经依赖 GitHub Actions 的团队来说，这项能力的覆盖范围变化值得持续跟踪。
