GitHub MCP Secret Scanning：让 Agent 提交前先查密钥

这篇解决什么

AI Agent 改代码时可能读取配置、复制示例或生成调试脚本，提交前密钥扫描应成为默认动作，而不是事故后的补救。

适合谁

适合使用 GitHub MCP Server、Copilot CLI、VS Code、Claude Code 或 Codex 处理代码仓库的人。

操作步骤

1. 确认目标仓库已启用 GitHub Secret Protection。
2. 在 AI 开发环境中配置 GitHub MCP Server，并让扫描遵循现有 push protection 设置。
3. 把提交前提示词固定写入项目规则：先扫描当前改动的密钥风险。
4. 发现密钥后先替换、撤销或轮换，再继续 PR。
5. 把扫描结果写进 PR 描述，便于 reviewer 快速确认。

可复制模板

请在提交前扫描当前改动中的潜在密钥泄露，列出文件、行号、风险类型、建议处理方式，并在修复后给出复查结果。

验收清单

• Secret Protection 已启用
• MCP Server 可用
• 提交前提示词已固定
• 发现问题先轮换再提交
• PR 描述包含扫描结论

发布建议

这篇可作为 AI 编程安全基础稿，适合与 Codex 安全清单互链。

资料依据

• GitHub Changelog: Secret scanning with GitHub MCP Server is now generally available

标签