GitHub 更新 Secret scanning，Anthropic 的 2 种 API Key 被默认拦截。接活交付源码不怕被刷爆账单。
核心看点
- GitHub Secret scanning 新增 Salesforce、Anthropic 和 Cloudsmith 密钥检测。
- Anthropic 的 service 和 user 两种 API Key 被 push protection 默认拦截。
- Public 仓库泄露 Partner 密钥会自动转发撤销，Private 仓库泄露 User 密钥会触发警报。
现在接单，给客户搭个基于 Claude 的客服机器人，或者写个 ComfyUI 自动化脚本，源码里很容易不小心带上 API Key。以前靠 .gitignore 或者肉眼检查，现在 GitHub 官方下场，从根源上帮你捂紧钱包。
▎官方下场拦截，你的 API 钱包安全了
很多视觉工作者现在接单，不仅要出图，还要给客户搭个基于 Claude 的客服机器人，或者写个 ComfyUI 自动化脚本。源码里很容易不小心带上 API Key。以前大家靠 .gitignore 或者肉眼检查，一旦手滑把 .env 传上去，黑产几分钟就能把你的额度刷爆。这次 GitHub Changelog 明确提到，Secret scanning 现在自动检测 Anthropic 的 anthropic_service_api_key 和 anthropic_user_api_key。更关键的是，这两种密钥被加入了 push protection 默认拦截名单。这意味着你在执行 git push 时，如果代码里夹带了这两种 key，提交会被直接阻断。对于接活交付源码的设计师来说，这相当于加了一道物理防盗门。哪怕你熬夜赶工脑子不清醒，GitHub 也会强行拦住你。同时，这次更新还加入了 Salesforce 的 salesforce_marketing_cloud_api_oauth2_token 和 Cloudsmith 的 cloudsmith_api_key 检测。虽然它们没有默认拦截，但也能在后台默默扫描，帮你排查隐患。很多小工作室交付代码时，为了图省事直接把整个项目文件夹打包发过去，根本来不及清理敏感信息，这个功能就是救命的。
▎Partner 与 User 机制的实操区别
理解这两种机制，能帮你更好地配置交付流程。GitHub 对密钥泄露的处理分为两条线：
- Partner secrets：当在 public 仓库发现 Salesforce、Anthropic 等合作伙伴的密钥时，GitHub 会直接转发给相关 partner，让他们在密钥被滥用前进行撤销或轮换。
- User secrets：当在 public 或 private 仓库发现用户密钥时，系统会生成 secret scanning alerts。
对于接活的设计师，这提供了一个清晰的排查边界。如果你做的是开源的 ComfyUI 插件，触发 Partner 机制，GitHub 会帮你自动通知 Anthropic 处理，省去你手动发邮件解释的麻烦。但如果你交付的是客户的私有项目（private 仓库），触发的是 User 机制，只会给你发警报。这时候你必须自己去代码里把 key 剔除，并去后台重新生成一个新的密钥。千万别以为报了警就万事大吉，私有仓库的警报不会自动帮你撤销密钥。
▎实操指南：如何配置与排查
要启用这些保护，你需要确保仓库的 secret scanning 功能已经开启。对于免费公共仓库，这个功能也是默认支持的。以下是官方提供的详细文档和配置指南，建议接活前务必过一遍：
Secret scanning 合作伙伴计划说明：
Secret scanning 功能介绍：
支持的密钥扫描模式完整列表：
社区讨论与反馈：
这里给出一份交付前的防泄露清单。第一，交付前全局搜索 sk-ant- 等 Anthropic 密钥前缀，确保没有硬编码在 Python 或 JS 文件里。第二，检查 .gitignore 是否包含了 .env 和 config.json。第三，如果不小心已经 push 过密钥，单纯删除文件是不够的，必须使用 git filter-repo 清理历史提交记录，并立刻去 Anthropic 控制台轮换 API Key。
虽然 GitHub 的 push protection 帮了大忙，但接活交付不能把身家性命全交给平台。Push protection 只能拦截新的 commit，历史泄露的 key 依然有效。很多设计师以为代码里删了密钥就安全了，结果在历史 commit 里被黑产扫到，照样破产。特别是 Anthropic 的 key，一旦泄露，黑产拿去跑图跑文本，几分钟就能让你倒欠平台钱。养成每次交付前轮换密钥的习惯，比任何扫描工具都管用。
点个赞再走？
交付源码时，被 API Key 泄露坑过吗？
往期推荐
- ·日烧1000刀的AI账单，免费的台北GTA克隆能破局吗
- ·Gemini 4 Argon 发布，百万输出十美元
- ·60% 漏洞来自非程序员，你随手捏的 AI 脚本正泄露客户数据
点击公众号头像 → 历史消息，可翻阅以上文章
