大规模自定义代码扫描默认设置

事件核心：发生了什么

GitHub Changelog 于 2026 年 8 月 4 日宣布，代码扫描默认设置（default setup）现已支持通过仓库属性 github-codeql-config-file 引入自定义配置文件。该功能目前在 github.com 上正式可用，并将随 GitHub Enterprise Server 3.23 一起发布。

具体变化包括：管理员可在仓库属性中指定 CodeQL 配置文件的路径，代码扫描会将文件中的查询、排除路径、威胁模型等设置与内置默认值合并执行。此前只在默认设置界面中手动选择的威胁模型和 CodeQL 模型包也会保留在合并后的配置中。

跨仓库引用配置文件的语法也做了简化：只需指定仓库名称，未填写 ref 和文件路径时，系统会回退到同一组织下目标仓库 main 分支的默认配置文件路径。如果目标仓库为私有，组织可通过配置 Git Source 私有 registry 来授予访问权限，无需再在 workflow 中管理 token。

为什么重要

这项功能的实质意义在于，GitHub 开始将代码扫描的治理能力从“仓库自治”提升到“组织统一管控”。过去团队若想在不同仓库中使用相同的 CodeQL 规则，要么逐个维护 GitHub Actions workflow，要么放弃默认设置改用更繁琐的高级设置。现在通过一个集中式配置文件加组织级默认值，安全团队可以同时获得两头的优势：默认设置的全自动扫描体验，以及高级设置的细粒度规则控制。

对于企业用户而言，这降低了规模化安全扫描的运维成本。组织所有者还能决定各个仓库是否允许覆盖默认配置，这意味着安全基线可以强制执行，也可以为确有特殊需求的团队放开一条定制通道。

对用户/开发者/创作者的影响

对 GitHub 企业组织中的安全管理员来说，这是最直接受益的群体。过去要在几十甚至上百个仓库中统一 CodeQL 扫描规则，往往需要写大量重复的 workflow 文件；现在只需维护一个配置中心仓库，通过组织级属性即可让全部仓库自动继承策略。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

对普通开发者而言，影响主要体现在工作流变化上：如果所在组织启用了这个配置，本地开发体验与之前类似，但扫描规则会由组织集中决定。对于在私有仓库中维护配置文件的场景，Git Source 私有 registry 接入后，开发者不再需要手动处理 token 权限问题。

对于尚未使用代码扫描的团队，这项更新降低了从零开始搭建安全基线时的决策成本——不需要在默认设置和高级设置之间做二选一，先以默认配置起步、再通过文件逐步调整规则即可。

值得关注的后续

目前公开信息显示，该功能尚未披露定价相关变化，仍属于代码扫描既有能力范围内的增强。有几个观察点值得留意：一是组织级配置覆盖策略在实际企业落地中的表现，尤其是大规模仓库矩阵下配置文件命中的稳定性；二是 GitHub Enterprise Server 3.23 发布后，私有化部署用户是否会同步获得与 github.com 一致的能力；三是这一“中心化配置+默认机制”的设计思路是否会被其他代码扫描工具或 CI/CD 平台跟进，进而改变应用安全测试赛道的默认配置体验。

来源：GitHub Changelog