GitHub 扩展 Advanced Security 强制策略：代理仓库审计指南
GitHub 于 2026 年 9 月 15 日宣布，企业管理员现在可以在各组织中强制执行 GitHub Advanced Security 配置。新的级别可阻止仓库管理员和组织管理员覆盖企业层定义的控制。此前，强制策略可以限制仓库负责人，但组织管理员仍可能覆盖配置。
对于维护代理客户端、路由服务、数据采集任务或浏览器自动化的团队，这项变化填补了重要治理缺口。这类仓库常包含连接逻辑、网络端点，以及使用敏感凭据的代码路径。如果本地便利可以悄悄降低保护，中央安全基线就失去了意义。
本次变化是什么
企业管理员可为安全配置选择三个强制级别：
- 不强制；
- 对仓库负责人强制；
- 对仓库负责人和组织负责人强制。
这项更新不会替组织决定应启用哪些安全功能，而是改变谁有权覆盖配置。应把它作为控制面决策：先定义基线和适用范围，再明确例外授权者，并保留每次变更的证据。
优先盘点代理相关仓库
建立仓库清单，覆盖：
- 代理认证与端点配置；
- 轮换、重试、会话或地域路由逻辑；
- 浏览器自动化和获授权的数据采集任务；
- 接收代理凭据的 CI 工作流；
- 网关或边缘 Worker 的基础设施模板；
- 序列化代理 URL 或 Authorization 头的库。
为每个仓库记录负责人、业务用途、数据等级、部署目标、凭据来源和适用的企业安全配置。归档仓库如果仍含有效密钥、可复用包或可部署工作流，也必须纳入。
可使用代理凭据编码验证指南定位认证值的生成路径，并结合GitHub PR 密钥阻断更新，让预防规则与治理范围覆盖同一类凭据。
强制之前先验证基线
强制机制传播错误政策的效率，与传播正确政策一样高。锁定整个企业前，应在有代表性的仓库中测试安全配置。
测试集至少包括应用仓库、基础设施仓库、可复用工作流仓库和归档项目。确认扫描能完成、预期告警会出现、分支保护正确联动，并为开发者提供明确的修复路径。
基线应回答：
- 哪些仓库必须继承配置？
- 哪些密钥、代码与依赖控制是必需项？
- 谁负责告警分流和修复？
- 什么证据能证明配置持续有效？
- 临时例外如何审批、限定和移除？
强制策略不能替代责任归属。没有负责人处理的告警只是队列，不是控制。
保护代理凭据，同时避免泄漏到日志
安全扫描应识别组织使用的凭据格式，但验证过程不能暴露真实密钥。应在私有测试仓库使用已撤销值或合成探针，禁止把有效代理密码放入 Issue、截图、支持工单或测试提交。
凭据应进入批准的密钥机制。工作流只在运行时获取最小所需秘密，不打印环境变量，并脱敏包含用户名或密码的代理 URL。能发现泄漏很重要，避免长期凭据更重要。
分阶段上线并保留可观测证据
建议按以下顺序上线：
- 先在少量仓库应用配置，但暂不启用最强覆盖限制。
- 测量扫描完成率、告警量、误报负担和修复时间。
- 修正范围或工作流冲突。
- 对仓库负责人启用强制。
- 验证仓库管理员无法降低基线。
- 企业例外流程准备好后，再扩展到组织负责人。
记录配置标识、目标仓库、强制级别、变更负责人、时间和回退条件。应使用非生产管理员测试拒绝路径：覆盖尝试必须失败，但正常开发不能中断。
Workers 范围化权限审计可补充部署侧控制，限制代码通过仓库检查后谁还能修改边缘资源。
让例外自动到期
部分仓库可能因扫描器兼容或迁移问题需要临时例外。例外必须写明仓库、控制项、原因、负责人、补偿措施、审批、到期时间和验证计划。
避免“遗留”或“特殊”这类永久标签。无法自动到期时，必须安排带日期的复核，并同时通知仓库和企业安全负责人。期限到达后，要么恢复基线，要么基于新证据批准新的有限周期。
验证检查清单
- 已盘点代理相关仓库与可复用工作流。
- 每个仓库都有运维与安全负责人。
- 基线已在代表性仓库类型中测试。
- 合成测试可识别预期的代理凭据格式。
- 测试、日志和工单中没有有效凭据。
- 仓库负责人无法覆盖强制配置。
- 选择最强级别时，组织负责人也无法覆盖。
- 正常构建、扫描与部署仍能完成。
- 例外包含范围、负责人、补偿措施和到期时间。
- 配置变更与失败的覆盖尝试有可审计证据。
常见问题
更新会自动启用所有 Advanced Security 功能吗？
不会。它新增更强的配置强制选项。管理员仍需定义配置、正确限定范围并验证行为。
所有仓库都应完全相同吗？
应有一致的最低基线，再按风险添加更严格控制。广泛强制前，要覆盖不同语言、工作流和部署路径。
强制策略能替代密钥轮换吗？
不能。代理凭据泄漏后，应立即撤销和轮换、检查使用记录并从受影响系统移除。策略强制减少配置漂移，但不会让泄漏密钥变安全。
如何测试覆盖被阻止？
使用非生产仓库和获授权的测试管理员，尝试一次有记录的设置变更，确认策略阻断，并保存不含密钥的审计证据。
合规说明
只在获授权管理的组织和项目中应用仓库控制。遵守许可、隐私、留存、劳动与区域要求。不得使用代理、扫描器或自动化访问未授权数据、隐藏行为或绕过服务控制。
