GitHub 密钥扫描扩展至 Actions 工作流日志，公开预览启动

GitHub 于 2026 年 11 月 9 日发布更新，密钥扫描现在可以检测 GitHub Actions 工作流日志中的密钥，此前该能力已覆盖代码、议题、Wiki、讨论和拉取请求。Actions 工作流日志扫描目前处于公开预览阶段，企业所有者需在企业设置中主动开启，策略默认关闭。

扫描对象与告警呈现方式

GitHub 说明，当一次工作流运行完成后，系统会扫描其日志以匹配服务商提供的密钥模式。发现的密钥会出现在仓库的密钥扫描告警列表中，与来自代码及其他内容的告警并列展示，并提供指回对应 Actions 工作流日志的链接。

对受支持的密钥类型，系统会执行有效性检查。GitHub 还表示，即使日志随后被删除，相关告警仍然保留，这意味着告警记录不依赖原始日志长期存在。

启用范围与操作路径

该预览面向 GitHub Enterprise Cloud 上拥有 GitHub Secret Protection 或 GitHub Advanced Security 的企业开放，包括数据驻留在 GHE.com 上的企业。企业所有者可在企业设置中进入 Policies，再选择 Advanced Security，在 All repositories 下拉菜单中选择 Enabled 来启用 Actions 工作流日志的密钥扫描。

GitHub 明确该策略默认处于禁用状态，并且只作用于在这些许可证下已启用密钥扫描的仓库。也就是说，企业级开关打开后，并非所有仓库都会自动纳入扫描，仍需满足仓库层面的密钥扫描启用条件。

预览阶段的限制

在公开预览期间，只有启用该功能之后完成的工作流运行才会被扫描，已有日志不会被回溯补扫。GitHub 同时列出若干不覆盖的情形：通用模式、自定义模式、AI 检测的密钥，以及已被 Actions 掩码处理的密钥均不会被检测。

告警通知方面，预览阶段来自 Actions 工作流日志的告警不会触发通知，用户需要直接查看仓库的密钥扫描告警列表。GitHub 表示正在收集反馈，并引导用户通过讨论区提交意见。

知序观察

观察：把密钥扫描延伸到 CI 日志，补上了密钥随构建输出外泄的一条常见路径，对使用 Actions 的企业团队有直接安全价值。但预览阶段的边界也很清楚——不回溯旧日志、不覆盖自定义与 AI 检测模式、不发送通知，实际防护效果取决于企业是否主动开启并建立定期查看告警列表的流程。