核心信息

一位参与 OpenCode 开发的开发者认为，GitHub 的组织级和仓库级密钥无法真正保证安全：团队中任何拥有写权限的成员一旦账号被入侵，密钥就可能被窃取外泄。

要点

  • 组织级和仓库级密钥对团队中所有拥有写权限的成员可见
  • 只要一名成员的账号被攻破，就足以窃取这些密钥
  • 建议改用带保护规则的 GitHub 环境（environments），把密钥存放在那里
  • 这是面向依赖默认密钥作用域团队的一条实用安全提醒