保护 GitHub Enterprise 中的机密信息

保护 GitHub Enterprise 中的机密信息 | AI生成和翻译

Home 2026.02

Question: 在企业环境中，如何防止 *.pem 文件或 secret keys 被提交到 GitHub Enterprise？

Answer:

在企业级 GitHub Enterprise 环境中（特别是 GitHub Enterprise Cloud 或 Server ≥ 3.5–3.6+），防止意外提交 .pem 文件、private keys、证书和其他 secrets 需要采取深度防御 (defense-in-depth) 的方法。仅依赖单一手段通常是不够的。

以下是 2026 年大型组织使用的最有效的防御层级：

1. GitHub Native Push Protection (强烈推荐 – 首要控制手段)

GitHub Enterprise 支持 secret scanning push protection —— 它会在包含检测到的 secrets 的提交到达远程 repository 之前主动拦截 push。

在 organization 级别（或针对高风险 repositories）启用 secret scanning + push protection。
GitHub 已经能够开箱即用地检测多种 private key 格式，包括：
- -----BEGIN PRIVATE KEY----- (PKCS#8)
- -----BEGIN RSA PRIVATE KEY-----
- -----BEGIN EC PRIVATE KEY-----
- -----BEGIN CERTIFICATE----- (有时会被标记)
- 通用的高熵 keys
包含 private keys 的 .pem 文件非常容易被捕获。
Organization owners / security admins → Settings → Code security and analysis → 启用 “Secret scanning” + “Push protection”。

这是最强大的控制手段，因为它是在服务器端强制执行的，即使 developers 绕过了本地 hooks，它也能捕获错误。

2. .gitignore Patterns (快速且通用的第一层防御)

将这些 patterns 添加到全局/公司级的 .gitignore 模板中，或通过 repository templates 强制执行：

# Private keys & certificates
*.pem
*.key
*.priv
*.private
*.crt
*.cer
*.der
id_rsa
id_ecdsa
id_ed25519
*.p12
*.pfx
*.jks

# Secret / credential files
.env
.env.local
.env.*.local
.secrets
credentials.json

提示：同时提交带有虚假值的 .env.example 或 config.example.yaml 作为参考。

3. 本地 Pre-Commit / Pre-Push Hooks (在 Staging 之前拦截)

通过以下方式在全公司范围内强制执行 hooks：

pre-commit 框架 (2025–2026 年最流行)
- 通过 pip / brew / package manager 安装
- 使用以下 hooks：
  - detect-private-key
  - detect-aws-keys
  - no-commit-to-branch
  - 针对 .pem 内容的自定义 regex
git-secrets (由 AWS 维护) —— 拦截类似 private keys 的 patterns
Husky + lint-staged (针对 JavaScript 团队)
将 TruffleHog 或 Gitleaks 作为 pre-commit hooks 使用

示例公司政策：在 developer 入职流程中强制要求执行 pre-commit install，并提供共享的 .pre-commit-config.yaml。

4. Server-Side Pre-Receive Hooks (仅限 GitHub Enterprise Server)

如果使用 GitHub Enterprise Server，管理员可以部署全局或针对单个 repo 的 pre-receive hooks，拒绝包含违禁 patterns（包括 .pem 文件或 PEM 内容）的 push。

这种方式非常强力，但需要编写脚本并进行维护。

5. CI/CD Secret Scanning 作为第二道关卡

即使某些内容漏掉了：

在每个 PR / push 的 CI 任务中运行 Gitleaks、TruffleHog、GitGuardian 或 GitHub secret scanning alerts。
如果检测到 secrets，则阻止 merge（在 main/protected branches 上最有效）。

防御层级	强制级别	是否在 Commit 前拦截?	是否拦截 Push?	维护成本	对 .pem / keys 的覆盖率
GitHub Push Protection	Organization	否	是	极低	极佳
公司级 .gitignore	Template / lint	是 (手动)	否	低	良好
pre-commit hooks	Developer machine	是	否	中	非常好
CI secret scanning	每个 PR / push	否	是 (merge)	中	极佳
Pre-receive hook	Server-side	否	是	高	可自定义