追踪活跃密钥：密钥有效性检查现已登陆GitHub高级安全为Azure DevOps

2025年8月12日

如果你曾经在大量密钥扫描警报中艰难筛选，想知道“哪些密钥现在实际上仍然危险？”——那么这个增强功能就是为你准备的。

GitHub高级安全为Azure DevOps（以及独立的密钥保护体验）中的密钥有效性检查为每个警报添加了一个高信号字段：活跃（仍可使用）或未知（无法验证）。

现在，你不再需要将每个警报都视为重大紧急事件，而是可以快速处理真正有风险的密钥，减少在无效警报上浪费时间。

简要说明

状态	实际含义	首要处理方式
活跃	该凭据现在仍然有效	立即修复
未知	无法验证（无活动、不支持、提供商问题、限制、网络问题）	视为可能活跃；如果是敏感密钥则重试验证或轮换

传统密钥扫描： 发现内容 → 发出警报 → 你进行调查 → 有时发现密钥几个月前已被撤销 → 浪费周期

密钥扫描 + 有效性检查： 发现内容 → 自动查询提供商 → 你知道它是否仍然有效

此功能不会为你撤销密钥——它改进了优先级排序。你将时间花在“活跃”密钥上，而不是考古标本上。

支持的提供商模式在此处列出（请收藏；它将不断演进）。如果模式不受支持，警报可能保持未知——这是预期的。

确保：

一旦这些条件满足，有效性检查就会开始对新检测到的受支持密钥类型生效。无需额外切换。无需YAML配置。

未知 ≠ 安全。通过三个快速问题对未知密钥进行分类：

如果2个以上因素倾向于“有风险”，就像对待活跃密钥一样进行修复。

这会自动撤销密钥吗？ 不。它提供优先级信息；修复是手动的（或通过你的自动化）。

所有密钥类型都支持验证吗？ 随着时间的推移，更多合作伙伴将加入——请跟踪支持的模式列表。

更少的无效警报。更多的实际成果。祝你狩猎愉快。