代码扫描新增“已缓解”警报关闭原因

事件核心：发生了什么

GitHub Changelog 于 2026 年 8 月 20 日发布更新，代码扫描功能（Code Scanning）现在允许开发者以“已缓解”（Mitigated）为理由关闭警报。这一选项适用于漏洞代码依然存在、但通过 Web 应用防火墙（WAF）或网络策略等外部控制手段，风险已被有效降低的情况。此前，这类问题只能标记为“不修复”（Won’t fix），两者在语义上存在混淆。新的关闭原因旨在与正式的例外和风险接受流程对齐，减少团队在 GitHub 之外追踪这些安全决策的负担。

为什么重要

这一变化看似细微，实则是安全开发流程标准化的重要一步。在 AI 与软件开发深度融合的背景下，代码扫描工具产生的大量警报需要更精细的处置分类。引入“已缓解”选项，意味着安全团队可以在不修改源码的前提下，通过基础设施层面的策略（如防火墙规则、网络隔离）来接受残余风险。这种显式的风险记录方式，让审计和合规过程有据可查，也避免“不修复”这一笼统标签掩盖了真实的安全考量。对于使用大型语言模型辅助编程、追求交付速度的团队而言，清晰的警报分类有助于在安全和效率之间建立更好的平衡。

对用户/开发者/创作者的影响

对于使用 GitHub Advanced Security 的企业开发者和安全工程师而言，这一更新直接改善了安全告警的治理体验。当团队评估一个漏洞时，可以明确记录“代码层面暂不修改，但已通过 WAF 或网络策略缓解”，这减轻了安全审计时的解释成本。对于开源项目维护者来说，这提供了一种更诚实的沟通方式：向社区说明漏洞为何保留，以及依赖何种外部控制来降低风险。需要注意的是，这一功能适用于 GitHub 代码扫描的告警管理界面，普通用户在使用公共仓库时也会看到这一新的关闭原因选项，但实际启用与否取决于仓库的安全配置。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

值得关注的后续

首先，可关注“已缓解”这一关闭原因是否会被纳入 GitHub 的审计日志 API，以便企业安全团队自动拉取这些决策记录用于合规报告。其次，观察 CodeQL 引擎是否会为此类“已缓解”警报增加更丰富的上下文信息，例如自动识别并列出相关联的外部控制措施。最后，鉴于 GitLab 和 AWS CodeGuru 等竞品也有类似的告警管理功能，可留意它们是否会跟进推出对等的关闭原因选项，以保持功能对齐。

来源：GitHub Changelog