密钥误传 GitHub：先撤销或轮换，再评估历史清理

Amy 原创整理｜资料核验：2026-10-29

GitHub 的敏感资料处理文档明确：如果泄露的是密码、令牌或凭据，第一步应撤销或轮换该秘密。只删除当前文件，不能让已经泄露的凭据失效。

Amy 建议先定位凭据对应的服务，在有权限的管理入口停用或更换，再检查相关访问记录与依赖配置。之后按团队流程判断是否需要清理仓库历史，并与协作者协调，避免各人继续推送旧副本。

处理前也应确认凭据由谁管理，并让相关维护人员知悉变更。日常预防可以把秘密放入适当的凭据管理机制，并在提交前检查差异；不要用一次删文件来代替失效处理。

官方来源：
https://docs.github.com/en/authentication/keeping-your-account-and-data-secure/removing-sensitive-data-from-a-repository