GitHub 於 2026 年 11 月 9 日開放 GitHub Actions workflow log scanning 公開預覽。每次 workflow run 完成後，GitHub 會掃描執行日誌中的供應商憑證樣式。發現項目會列入 Repository 的 Secret scanning alerts，並附上相關 workflow log 連結。支援的憑證類型會進行有效性檢查；刪除日誌後，告警仍會保留。
啟用此預覽需要 GitHub Enterprise Cloud，以及 GitHub Secret Protection 或 GitHub Advanced Security。Enterprise owner 可在 Settings → Policies → Advanced Security，將 All repositories 的 Actions workflow log scanning 設為 Enabled。此功能預設停用，適用於授權方案下已啟用 secret scanning 的 Repository。
預覽期間只掃描啟用後完成的 workflow runs，不回補既有日誌。通用型樣式、自訂樣式、AI 偵測到的憑證，以及已由 Actions 遮罩的內容不在掃描範圍。預覽期間不會為這類告警發送通知，維運人員需直接檢查 Secret scanning alerts。
維護工作流程時，避免將 token、API key 與密碼輸出至日誌。發現憑證外洩時，立即撤銷並輪替該憑證，並檢查其使用紀錄。日誌掃描可補充既有憑證管理與審查流程。
延伸實作課程以 Codex 檢視合成 Node.js 專案，練習建立受控工作區、Source Map、追蹤資料流與整理可重現的安全驗證任務。課程內容不包含 GitHub Actions Secret Scanning 的設定操作。
Codex 資安修補實戰 01：建立受控工作區
https://www.mokoversity.com/courses/codex-security-controlled-workspace
Codex 資安修補實戰 02：使用 Codex 發現與驗證程式弱點
https://www.mokoversity.com/courses/codex-security-finding-triage
GitHub 官方公告：
https://github.blog/changelog/2026-11-09-secret-scanning-detects-secrets-in-github-actions-workflow-logs/
Google Analytics 使用選擇
網站使用 Google Analytics 了解公開頁面的使用情形。未接受前不會載入分析工具。你可以接受或拒絕，之後也能在隱私權政策調整。