仓库安全公告评论 API 进入公开预览

一句话看懂：GitHub 把仓库安全公告的评论功能开放到了 REST API，开发者终于能用脚本读取、添加和编辑漏洞讨论，而不再只能打开网页手动查看。

事件核心：发生了什么

根据 GitHub Changelog 于 2026 年 10 月 2 日发布的公告，仓库安全公告（Repository Security Advisory）的评论 API 进入公开预览。此前，安全公告下的讨论只能通过 Web UI 访问，而这些讨论往往包含漏洞报告中最有价值的排查和分诊上下文。新接口支持列出评论（可按更新时间过滤）、获取单条评论、新增评论和编辑评论，私有漏洞报告生成的公告同样适用。

配套变化是，仓库安全公告的 API 响应现在会返回评论数量，全局公告响应也会带上其关联仓库公告的评论数，方便在拉取内容前先判断哪些公告存在讨论。这些计数字段只统计非机密评论。权限方面，访问规则与公告本身一致：需要仓库安全公告的读写权限或对应 token scope，看不到公告的人同样看不到评论，非协作者无法查看内部评论，机密评论不会通过 REST 端点返回。目前尚不支持通过 API 删除评论。该功能以公开预览形式面向 GitHub Free、Pro、Team 和 Enterprise Cloud 的公开仓库开放。

为什么重要

漏洞公告的评论区长期是“半结构化数据”的盲区：信息质量高，但锁在网页里，无法进入审计、迁移或自动化流程。API 化之后，安全公告的协作方式开始对齐 issues 和 pull requests，这意味着安全团队可以用同一套工作流处理漏洞披露、分诊记录和复现说明。对依赖 GitHub 做供应链安全管理的团队来说，评论可编程意味着漏洞情报可以更顺畅地接入内部工单、审计日志或合规归档系统，而不必靠人工截图和复制粘贴。

对用户/开发者/创作者的影响

做安全工具和 DevSecOps 的开发者是直接受益方：可以批量导出公告讨论用于审计或仓库迁移，自动写入分诊备注，或构建与现有 issue 工作流一致的安全公告流程。企业安全团队则能把评论活动纳入监控，例如通过评论数变化发现某条公告重新活跃。普通用户和不开源维护者的感知有限，但如果你参与私有漏洞报告或维护公开仓库，评论 API 让协作记录更可追踪。需要注意的是，机密评论不会出现在接口返回中，涉及敏感协调的讨论仍需留在受控渠道。