定时代码扫描会跳过不活跃的仓库

事件核心：发生了什么

根据 GitHub Changelog 于 2026 年 10 月 1 日发布的说明，代码扫描默认设置（code scanning default setup）与 GitHub Code Quality 的每周定时扫描，现在只会在一次由 push 或 pull request 触发的分析之后才开始运行。此前，任何非定时扫描都会被算作仓库的“近期活动”，其中还包括你首次启用默认设置时执行的一次性验证扫描，以及因检测语言变化而触发的扫描。

这带来的实际问题是：当你为大量仓库一次性启用默认设置或批量下发安全配置时，那些早已停止开发的“休眠仓库”会因为这次验证扫描被视为活跃，从而在未来约六个月内持续触发你并不期待的每周定时扫描。调整后，启用默认设置仍会立即跑一次初始验证扫描并生成结果，但每周定时扫描要等真正的 push 或 PR 分析发生后才会启动，判断依据是分析历史，而不是启用扫描之前的 Git 活动。代码扫描与 Code Quality 之间对“活动”的判定仍然共享。该行为已在 GitHub Enterprise Cloud 生效，并将在 GitHub Enterprise Server 3.24 中支持，用户无需改动任何配置。

为什么重要

这不是一次功能上新，而是对安全扫描调度逻辑的修正，影响的是规模化 DevOps 场景下的算力与告警噪音。在拥有成百上千个仓库的组织里，批量启用代码扫描或安全配置是常见操作，旧逻辑会让静态分析任务在无开发活动的仓库上反复消耗 CI 资源和算力，同时产生无人处理的告警，稀释真正需要关注的安全信号。对正在把 SAST、供应链安全、代码质量检查纳入默认流程的企业来说，扫描行为变得可预测，意味着安全策略的推广成本更可控。目前公开信息显示，这一变化不影响 CodeQL 等分析引擎本身的能力，只是调整了“何时值得扫描”的判定标准。

对用户/开发者/创作者的影响

对个人开发者和小团队，如果你的仓库在启用默认设置后一直没有新的提交或 PR，每周定时扫描将不会启动，第一次验证扫描的结果仍然可以看到，误报和邮件通知会减少。对负责多仓库安全治理的平台或安全团队，批量配置安全策略时不必再担心唤醒一批早已归档的仓库，扫描预算和告警处理人力可以更集中于仍活跃推进的项目。对使用 GitHub Advanced Security 或 Code Quality 的企业客户，这项改动在 Enterprise Cloud 上即刻生效，Enterprise Server 用户则需等待 3.24 版本，无需修改工作流或配置。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

值得关注的后续

一是 GitHub Enterprise Server 3.24 的具体发布时间，以及该逻辑是否与其它扫描触发条件保持一致；二是当活跃仓库长期没有 push 或 PR、但依赖出现新漏洞时，定时扫描的缺失是否会带来覆盖盲区，GitHub 是否会补充基于依赖变更的触发机制；三是 GitLab、Bitbucket 等竞品在静态扫描调度上是否跟进类似“按真实开发活动触发”的策略。

来源：GitHub Changelog