# 评估机密扫描警报

了解可帮助你评估警报并确定其修复优先级的额外功能，例如检查机密的有效性。

## 关于评估警报

有一些额外功能可帮助你评估警报，以便更好地确定其优先级并进行管理。 您可以：

* 检查机密的有效性，了解机密是否仍处于活动状态。

**仅适用于GitHub令牌**。 请参阅 [检查机密的有效性](#checking-a-secrets-validity)。

* 执行“按需”有效性检查，以获取最新的验证状态。 请参阅 [“执行按需有效性检查](#performing-an-on-demand-validity-check)”。
* 查看令牌的元数据。
  **仅适用于GitHub令牌**。 例如查看上次使用令牌的时间。 请参阅 [“查看 GitHub 令牌元数据](#reviewing-github-token-metadata)”。
* 查看暴露机密的扩展元数据检查，以查看详细信息，例如机密所有者以及如何联系机密所有者。
  **仅适用于 OpenAI API、Google OAuth、Slack 和复制令牌**。 请参阅 [查看令牌的扩展元数据](#reviewing-extended-metadata-for-a-token)。
* 查看分配给警报的标签。 有关详细信息，请参阅 [“查看警报标签](#reviewing-alert-labels)”。

## 检查机密的有效性

验证检查让您知道哪些机密属于 `active` 或 `inactive` 机密，帮助你排列 警报优先级。
`active` 机密是仍可能被利用的机密，因此应该优先审查和修正它们的警报。

默认情况下， GitHub 检查令牌的有效性 GitHub ，并在警报视图中显示令牌的验证状态。

使用 GitHub Team、将 GitHub Enterprise Cloud 与 GitHub Secret Protection 许可证或将 GitHub Enterprise Server 与 GitHub Secret Protection 许可证配合的组织还可以启用合作伙伴模式有效性检查。 有关详细信息，请参阅 [检查机密的有效性](/zh/code-security/tutorials/remediate-leaked-secrets/evaluating-alerts#checking-a-secrets-validity)。

| 有效期         | Status     | 结果                               |
| ----------- | ---------- | -------------------------------- |
| 活动机密        | `active`   | GitHub 向此机密的提供者进行了核实，发现此机密处于活动状态 |
| 可能处于活动状态的机密 | `unknown`  | GitHub 尚不支持对此令牌类型进行验证检查          |
| 可能处于活动状态的机密 | `unknown`  | GitHub 无法验证此机密                   |
| 机密处于非活动状态   | `inactive` | 应确保未发生未经授权的访问                    |

合作伙伴模式的有效性检查可用于以下存储库类型：

* 启用了 [GitHub Team](/zh/get-started/learning-about-github/about-github-advanced-security) 的 GitHub Secret Protection 上的组织拥有的存储库

有关如何为合作伙伴模式启用有效性检查的信息，请参阅 [为存储库启用有效性检查](/zh/code-security/how-tos/secure-your-secrets/customize-leak-detection/enable-validity-checks)，以及当前支持哪些合作伙伴模式的信息，请参阅 [支持的机密扫描模式](/zh/code-security/reference/secret-security/supported-secret-scanning-patterns)。

可以使用在企业或组织级别设置的安全配置，为合作伙伴模式启用有效性检查。 请参阅 [为企业创建自定义安全配置](/zh/code-security/how-tos/secure-at-scale/configure-enterprise-security/establish-complete-coverage/create-custom-configuration) 和 [删除自定义安全配置](/zh/code-security/how-tos/secure-at-scale/configure-organization-security/establish-complete-coverage/create-custom-configuration)。

有关当前支持哪些合作伙伴模式的信息，请参阅 [支持的机密扫描模式](/zh/code-security/reference/secret-security/supported-secret-scanning-patterns)。

可以使用 REST API 检索每个令牌的最新验证状态的列表。 有关详细信息，请参阅 REST API 文档中的“[适用于机密扫描的 REST API 终结点](/zh/rest/secret-scanning)”。 您还可以使用 Webhook 接收与 secret scanning 警报相关活动的通知。 有关更多信息，请参阅 `secret_scanning_alert` 中的 [](/zh/webhooks/webhook-events-and-payloads?actionType=created#secret_scanning_alert) 事件。

## 执行按需验证检查

为存储库的合作伙伴模式启用有效性检查后，可以通过在警报视图中单击“ **<svg version="1.1" width="16" height="16" viewBox="0 0 16 16" class="octicon octicon-sync" aria-label="sync" role="img"><path d="M1.705 8.005a.75.75 0 0 1 .834.656 5.5 5.5 0 0 0 9.592 2.97l-1.204-1.204a.25.25 0 0 1 .177-.427h3.646a.25.25 0 0 1 .25.25v3.646a.25.25 0 0 1-.427.177l-1.38-1.38A7.002 7.002 0 0 1 1.05 8.84a.75.75 0 0 1 .656-.834ZM8 2.5a5.487 5.487 0 0 0-4.131 1.869l1.204 1.204A.25.25 0 0 1 4.896 6H1.25A.25.25 0 0 1 1 5.75V2.104a.25.25 0 0 1 .427-.177l1.38 1.38A7.002 7.002 0 0 1 14.95 7.16a.75.75 0 0 1-1.49.178A5.5 5.5 0 0 0 8 2.5Z"></path></svg> 验证机密** ”，对任何受支持的机密执行“按需”有效性检查。
GitHub 将向相关合作伙伴发送模式，并在警报视图中显示机密的验证状态。

![显示 secret scanning 警报的用户界面的屏幕截图。 标有“验证机密”的按钮以橙色轮廓突出显示。](/assets/images/help/security/secret-scanning-verify-secret.png)

## 查看 GitHub 令牌元数据

> \[!NOTE]
> GitHub 令牌的元数据目前在 公开预览 且可能会更改。

在处于活动状态的 GitHub 令牌警报视图中，您可以查看有关该令牌的一些元数据。 此元数据可以帮助你识别令牌，并确定要采取的修正步骤。

诸如 personal access token 之类的令牌和其他凭据均被视为个人信息。 有关使用 GitHub 令牌的详细信息，请参阅 [GitHub 的隐私声明](/zh/site-policy/privacy-policies/github-general-privacy-statement)和 [Acceptable Use Policies](/zh/site-policy/acceptable-use-policies/github-acceptable-use-policies)。

![GitHub 令牌的 UI 的屏幕截图，其中显示了令牌元数据。](/assets/images/help/repository/secret-scanning-github-token-metadata.png)

GitHub 令牌的元数据可用于启用了机密扫描的任何存储库中的活动令牌。 如果令牌已被撤销或无法验证其状态，则元数据将不可用。
GitHub 自动撤销 GitHub 公共存储库中的令牌，因此公共存储库中令牌的 GitHub 元数据不太可能可用。 以下元数据可用于处于活动状态的 GitHub 令牌：

| Metadata | Description         |
| -------- | ------------------- |
| 机密名称     | 创建者为 GitHub 令牌提供的名称 |
| 机密所有者    | 令牌所有者的 GitHub 句柄    |
| 创建时间     | 令牌的创建日期             |
| 过期日期     | 令牌的过期日期             |
| 上次使用时间   | 上次使用令牌的日期           |
| Access   | 令牌是否具有组织访问权限        |

## 查看令牌的扩展元数据

> \[!NOTE] 扩展的令牌元数据检查功能处于公开预览中，并可能发生变化。

在处于活动状态的 GitHub 令牌警报视图中，您可以查看更多元数据，例如所有者和联系信息。

下表显示了 **所有可用的元数据**。 请注意，元数据检查目前仅限于 OpenAI API、Google OAuth、Slack 和 Replicate 令牌，并且为每个令牌显示的元数据可能仅反映现有信息的一部分。

| 元数据类型   | Description              |
| ------- | ------------------------ |
| 负责人 ID  | 提供者为拥有机密的用户或服务帐户分配的唯一标识符 |
| 所有者名称   | 可读的用户名或密钥所有者的显示名称        |
| 所有者电子邮件 | 与所有者关联的电子邮件地址            |
| 组织名称    | 机密所属的组织/工作区/项目的名称        |
| 组织 ID   | 提供商为该组织分配的唯一标识           |
| 机密颁发日期  | 创建或最近颁发机密（令牌或密钥）时的时间戳    |
| 秘密到期日期  | 计划机密过期时的时间戳              |
| 机密名称    | 为机密分配的人工显示名称或标签          |
| 机密 ID   | 提供程序的机密唯一标识符             |

## 查看警报标签

在警报视图中，你可以查看分配给该警报的任何标签。 标签提供有关警报的额外详细信息，可指导你采取的修复方法。

Secret scanning 警报可被分配以下标签。 根据分配的标签，你会在警报视图中看到额外信息。

| Label         | Description                                                                                          | 警报视图信息                                   |
| ------------- | ---------------------------------------------------------------------------------------------------- | ---------------------------------------- |
| `public leak` | GitHub 对代码、讨论、gist、问题、拉取请求和 wiki 的至少一项扫描发现存储库中检测到的机密已被公开泄露。 这可能要求你更紧急地处理该警报，或者与私下暴露的令牌相比，以不同方式修复该警报。 | 你会看到指向检测到泄露机密的任何特定公共位置的链接。               |
| `multi-repo`  | 你的存储库中检测到的机密已在你的组织或企业的多个存储库中找到。 此信息可帮助你更轻松地在组织或企业中消除该警报的重复项。                                         | 如果你拥有适当的权限，你会看到指向你的组织或企业中同一机密的任何特定警报的链接。 |