用途：为 GitHub 仓库或组织配置密钥扫描（secret scanning），检测泄露的凭据、阻止密钥被推送、定义自定义模式并管理告警，也可在提交前对本地代码变更做密钥扫描。
主要能力：自动扫描全部分支的 Git 历史、Issue 与讨论标题描述评论、PR 内容、Wiki 与 gist；配置推送保护，拦截命令行推送、GitHub UI 提交、文件上传与 REST API 请求中的密钥；用正则定义自定义模式并支持 Copilot 辅助生成；通过 .github/secret_scanning.yml 的 paths-ignore 排除目录（最多 1000 条，文件小于 1MB）；可选启用非提供方模式、AI 通用密钥检测、有效性检查与扩展元数据检查；管理用户告警、推送保护告警与提供方告警，并支持带原因关闭告警。
使用方式：在仓库 Settings → Advanced Security 启用 Secret Protection 与 Push protection；组织可在 Settings → Advanced Security → Global settings → Security configurations 批量启用。推送被拦截时，可修改并修订提交后重推，或访问推送错误中的 URL 选择绕过原因，或在委托绕过下申请权限。本地提交前扫描可安装 Advanced Security 插件，在 GitHub Copilot CLI 执行 /plugin install advanced-security@copilot-plugins，在 VS Code 的 Copilot Chat 安装该插件后运行 /secret-scanning。
适用场景：公开或组织私有仓库的凭据泄露防护、告警处置与修复、自定义模式落地、提交前本地审计。
限制：公开仓库自动免费，组织私有/内部仓库需 Team/Enterprise Cloud 的 GitHub Secret Protection，用户所有仓库需 Enterprise Cloud 与 Enterprise Managed Users。通用告警每仓库上限 5000 条。不得在缺少工具输出时声称扫描已运行，命令与报告中不得包含凭据。