Copilot 应用接入代码扫描告警处理

GitHub 把代码扫描告警的查看、解释和修复接进了 GitHub Copilot app。新推出的 GitHub security extension 已进入公开预览，目标很直接：减少开发者在 github.com 告警页面和编辑器之间来回切换，让发现问题、理解问题和修改代码连起来。

对已有代码扫描流程的团队，它提供了一个新的告警处理入口；对尚未启用扫描的开发者，它也支持检查本地改动。但接入方便不等于修复可靠，使用范围、费用和人工审查仍有明确边界。

已有告警，可以在一个地方处理到哪一步

仓库已经启用 code scanning 时，扩展会展示尚未关闭的告警，按严重程度排序，并提供搜索和筛选。打开告警后，可以查看详情及受影响的代码；需要更多上下文时，仍可跳转到 github.com 上的完整告警页面。

选中一个或多个告警，就能让 Copilot 执行 Explain 或 Fix。前者帮助理解问题，后者尝试修改代码。

Fix 只修改本地工作副本，不会自动 commit 或 push。

这个边界很实用：开发者可以在 app 内检查修改、继续调整，准备好后再推送。它把修复动作接入开发流程，也保留了审查和提交的控制权。不过，原文没有给出修复成功率，也没有展示具体修复案例。

扩展还会展示告警关联的 pull request，方便判断是否已经有人处理。对于不准备修复的告警，可以执行 dismiss，也就是将告警标记为不再处理。如果组织启用了 delegated alert dismissal，即委派审批式的告警忽略流程，扩展会将申请送审，不会跳过组织原有的审批要求。

本地检查能用，但权限和费用要分开看

除了处理已有告警，还可以对当前改动运行 /security-review，检查结果会和现有告警一起展示。如果代码在上次检查后发生变化，扩展会提醒开发者重新运行检查。

这里提供的是「需要重跑」的提示。原文没有说它会在每次修改后自动重新检查，也没有交代检查覆盖哪些漏洞类型、是否与仓库的 code scanning 使用相同规则。

开发者也可以在聊天中询问告警。Copilot 会调用安全扩展提供的工具，并遵守已有的工具权限设置。

原文列出的安装操作包括在终端运行：

copilot plugin install github-security@awesome-copilot

需要保留完整的 github-security@awesome-copilot 标识。app 内的安装路径是打开 Customize，搜索 github-security，点击 + Install。扩展会自动启用，随后可以从仓库对应的会话打开 Security canvas。

能安装，不代表能访问所有安全功能，具体要区分：

• 任意 Copilot 套餐都可以安装扩展，并对本地改动运行 /security-review。
• Copilot Business 和 Copilot Enterprise 需要管理员启用 GitHub Copilot app 策略；管理员还可通过企业托管设置限制允许安装的插件。
• 查看、修复和忽略已有告警，需要仓库启用 code scanning，且当前用户有查看告警的权限。私有仓库还需要 GitHub Code Security。
• 公开预览支持 github.com 和具备数据驻留能力的 GitHub Enterprise Cloud，不支持 GitHub Enterprise Server。

费用也有区别：Explain、Fix 和 /security-review 使用 app 当前选中的模型，像普通提示一样消耗 AI credits；浏览和忽略告警不使用 AI。

我的判断

我认可它对工作流程的改进。告警详情、相关代码、已有修复 PR 和本地修改集中展示，能减少处理问题时的切换；关联 PR 也有助于避免重复修复。

但这份更新日志只能证明功能入口已经打通，不能证明安全检查更全面，或 AI 修复更准确。作者没有给出误报率、漏报率、修复成功率，也没有与原有网页加编辑器流程做效率对照。

更适合把它当作告警处理助手，而不是修复正确性的保证。

相较于在 github.com 看告警、再到编辑器手动修改，新入口的优势是操作集中。是否值得团队采用，还要看现有告警规模、使用习惯和权限条件。尤其不能因为本地可以运行 /security-review，就推断它能替代仓库已有的 code scanning。

能拿来做什么

• 已启用 code scanning 的前端或 Node 仓库，可以先按严重程度筛选告警，用 Explain 辅助理解，再决定是否让 Fix 修改本地代码，并审查差异、运行相关验证。
• 准备提交 pull request 时，可以对当前改动执行 /security-review；收到代码已变化的提示后，再运行一次，让检查结果对应最新改动。
• 团队试用前，先确认 Copilot app 策略、插件安装限制和告警查看权限；私有仓库还要确认 GitHub Code Security 条件，避免安装后才发现无法读取已有告警。