secrets-management

用途：为 MCP 服务器与 CI/CD 工作流提供 GitHub 密钥的安全管理方法，包括仓库 Secret、环境 Secret 的配置与在工作流中的引用。主要能力：配置仓库级 Secret（Settings → Secrets and variables → Actions → Repository secrets），示例密钥为 COPILOT_MCP_GITHUB_PERSONAL_ACCESS_TOKEN，作用域为 repo、read:org、read:user，有效期为 90 天需续期；配置环境级 Secret（Settings → Environments → copilot → Environment secrets），同一密钥通过 COPILOT_AGENT_INJECTED_SECRET_NAMES 注入。使用方式：在 MCP 配置文件中引用，如 .github/copilot-mcp.json 中为 github 服务器设置 env 的 GITHUB_TOKEN 与 GITHUB_PERSONAL_ACCESS_TOKEN 指向 ${{ secrets.COPILOT_MCP_GITHUB_PERSONAL_ACCESS_TOKEN }}；在工作流如 .github/workflows/copilot-setup-steps.yml 的 env 中同样引用上述 secrets 变量。安全实践：不要将密钥提交到仓库，启用 GitHub secret scanning，每 90 天轮换密钥，遵循最小权限，使用按环境区分的密钥，审计密钥访问日志。同时强调 AI FIRST 质量原则：不接受首次通过的质量，至少迭代两次，读取全部输出并改进每个部分。限制：资料未提供具体定价、平台覆盖范围、实际执行效果或部署步骤等细节。