GitHub 和微信合作。。。脱裤子放屁

[superrichman]

https://github.blog/changelog/2022-12-19-tencent-wechat-is-now-a-github-secret-scanning-partner/

GitHub will forward access tokens found in public repositories to Tencent WeChat, who will notify affected users.

Github 扫瞄项目中泄漏的 token ，然后发给微信，然后微信再通知用户？？？这是什么中间商赚差价的操作？ Github 你 tm 就不能直接通知用户？

PS: 一点阴谋论, 有没有其它信息发给微信了？

[nightwitch]

😅这个问题的错不在腾讯，也不在 Github 。
在有些人为了强行尬黑开始连伪装 Token 这种 P 话都说出来了。
Token 的构造算法能被你枚举出来的话你还在搁这跟 V 友吹牛逼呢？

[Goooooos]

“PS: 一点阴谋论, 有没有其它信息发给微信了？”

全文中心思想

[yohole]

很多人觉得在 v2 提到或者吐槽微信等国内产品或者企业的时候，以为会引起共鸣，但作为偏技术的 v2 论坛，不是每一次都有效的，明显 OP 就是一次明显的翻车

[SunsetShimmer]

不具有讨论意义。

公开的库，GitHub 不扫，腾讯自己扫能不能达到目的？

[NeroKamin]

盲猜 OP 是第一次知道 Github 和各厂商之间有这种合作，然后又看到了合作厂商是微信，于是决定批判一番

[suke119]

真就乱喷了 问之前多了解下

[sobigfish]

OP 你得先分清 repo 用户不一定是最终用户，只通知给 repo 用户没有意义，repo 用户主动上传的它很少会不知道？

[zhch602]

这 OP 像个小丑一个

[huangzhe8263]

笑死我了

公开 repo ，官方提供，无论对于 github 还是厂商还是应用者来说都是大好事一件

咋在 OP 眼里就是“总有刁民想害朕” 呢

[yaott2020]

这不是好事吗？可以帮助及时止损。op 怕不是魔怔了吧？

[oovveeaarr]

如果 csdn 也有这个功能就好了

[kkocdko]

OP 可能之前没有了解过这方面的技术。事实上 GitHub 很早就有这样的技术了，比如你把 RSA 私钥推上去，它会警告再警告；如果发现你的私钥刚好是某家提供商的有效证书，比如你在 FreeSSL 上签一张放上去就会触发吊销。

[deplivesb]

op 赶紧注销 GitHub 帐号吧，丢人。

[T0m008]

@superrichman 不管是不是破解，这种情况 token 都应该被换掉

[findex]

请仔细读题

> GitHub will forward access tokens found in public repositories to Tencent WeChat, who will notify affected users. Tencent WeChat encourages users to delete leaked API tokens on GitHub and to create a new token on the WeChat Pay Merchant Platform or WeChat Official Accounts Platform. More information about Tencent WeChat tokens can be found here.

in public repositories 是指的公共项目的 tokens 。这个和 docker 里面的漏洞扫描+hook 差不多。只是这次不是自己手动 hook 了，而是 github 扫描完公共项目，直接把 token 给 tx 过目一遍。不管你有没有 hook 。

至于 github 有没有扫描私有项目，这点不好说。github 有前科，copilot 就拿你们的 github 上的私有项目做训练的。微软买了 github 后，它变得越来越“商”气，还和 ZC 挂钩，会封号。

[codehz]

此文也被转载到 hn 了，那边讨论气氛也差不多
https://news.ycombinator.com/item?id=34063390

[superrichman]

@codehz hn 的讨论气氛和这里可不一样，嘿嘿。我提到的几个观点在那边也有人提出来，人家的回复和思考理性多了。

hn 上面还提到了一些我没有想到的观点，比如 Github 会不会扫瞄私有仓库，然后这些合作厂商是不是能故意传任意的正则来窃取不属于它的 token ，甚至还有说去扫描比特币种子的，大开眼界了。

[Greenm]

@codehz HZ 你上了那么久外网还不知道国外逢中必反，只是因为沾了微信就是原罪，之前 github 和跟其他厂商合作的时候怎么没见一堆人出来闹？

https://docs.github.com/en/code-security/secret-scanning/secret-scanning-patterns#supported-secrets-for-user-alerts

Hacker news 还说什么扫描私有仓库，真的笑话，涉密不上网，上网不涉密，敢传到网上就要有这种觉悟。

不相信不爱用就别用，整天搞这些阴谋论被别人戳穿了还死鸭子嘴硬。

[wei193]

你这叫越菜越...

上面大家都很用心和你解释了。你还没有意思到自己的问题，这大概就是你的问题。

[xFrye]

「 hn 的讨论气氛和这里可不一样，嘿嘿。我提到的几个观点在那边也有人提出来，人家的回复和思考理性多了。」

「理性」，哈哈哈哈