代码扫描新增“已缓解”警报关闭原因
GitHub 代码扫描现在支持使用“Mitigated”原因关闭警报，当漏洞仍存在但外部控制（如 WAF 或网络策略）已缓解其风险时，该原因可区分“已缓解”与“不修复”，并与正式风险接受流程对齐。
原贴
查看原文原文
中文翻译
您现在可以在代码中仍存在漏洞但外部控制（如Web应用防火墙或网络策略）缓解其风险时，使用“已缓解”（Mitigated）原因关闭代码扫描警报。这一新的关闭原因帮助您区分已缓解的漏洞与标记为“不修复”（Won’t fix）的警报，使关闭操作与正式的例外和风险接受流程保持一致，并减少在GitHub之外跟踪这些决策的需要。更多信息，请参阅解决代码扫描警报。
核心信息
GitHub 代码扫描现在支持使用“Mitigated”原因关闭警报，当漏洞仍存在但外部控制（如 WAF 或网络策略）已缓解其风险时，该原因可区分“已缓解”与“不修复”，并与正式风险接受流程对齐。
- GitHub 代码扫描现在支持使用“Mitigated”原因关闭警报，当漏洞仍存在但外部控制（如 WAF 或网络策略）已缓解其风险时，该原因可区分“已缓解”与“不修复”，并与正式风险接受流程对齐。
- 原贴提到：You can now dismiss a code scanning alert with the reason Mitigated when
- 来源：github.blog
详细解读
这是什么信号？GitHub 代码扫描新增了“Mitigated”这一警报关闭原因，标志着漏洞管理从“二元修复/不修复”向更精细的风险接受流程演进。此前，当漏洞因外部补偿控制（如 WAF、网络策略）而无法立即修复时，团队要么标记为“Won’t fix”，要么在外部系统手动记录，导致决策分散且难以审计。此次更新直接响应了企业安全运营中的实际痛点。
为什么重要？该功能将风险缓解决策纳入代码扫描工作流，使团队能够清晰区分“已缓解但未修复”与“明确不修复”的漏洞。这不仅提升了安全治理的透明度，还减少了跨系统手动同步的成本。对于需要遵循 SOC 2、ISO 27001 等合规框架的团队，它提供了一种可审计的“正式例外”记录方式。
对谁有价值？对开发团队、安全工程师和合规负责人均有价值。开发团队可快速关闭受控风险，避免警报疲劳；安全团队能更精准地追踪残余风险；管理层则能获得更清晰的例外审批链条。
可以怎么行动？建议团队在关闭警报时，优先使用“Mitigated”并附带说明引用的外部控制项（如具体 WAF 规则编号）。同时，可结合 GitHub API 导出这些记录，用于定期审查补偿控制的有效性。如果尚未建立风险接受流程，此功能可成为推动流程标准化的契机。
风险或限制？务必注意，“Mitigated”不等于“已修复”。外部控制可能失效或配置变更，因此需要建立定期复核机制，确保持续缓解。此外，如果团队审核不严，可能滥用该原因掩盖长期技术债，因此建议结合策略要求附加证据链接。
信息差价值
这条内容的真正价值，不只是“有人发布了一个新功能”，而是它揭示了 github.blog 背后的产品方向、工作流变化或竞争信号。对 OPC 来说，这种信息可以转化成持续追踪的栏目选题。
如果把《代码扫描新增“已缓解”警报关闭原因》放到你的内容系统里，它最大的价值在于帮助读者更快看懂“为什么值得关注”，而不是只看到一条碎片化动态。
参考来源
TOPIC HUBS
延伸专题
AI SUMMARY
这篇文章回答了什么
代码扫描新增“已缓解”警报关闭原因主要讲什么？
GitHub 代码扫描现在支持使用“Mitigated”原因关闭警报，当漏洞仍存在但外部控制（如 WAF 或网络策略）已缓解其风险时，该原因可区分“已缓解”与“不修复”，并与正式风险接受流程对齐。
这篇文章最值得关注的要点是什么？
GitHub 代码扫描现在支持使用“Mitigated”原因关闭警报，当漏洞仍存在但外部控制（如 WAF 或网络策略）已缓解其风险时，该原因可区分“已缓解”与“不修复”，并与正式风险接受流程对齐。；原贴提到：You can now dismiss a code scanning alert with the reason Mitigated when；来源：github.blog
这篇文章和哪些AI专题相关？
它适合放在AI日报、AI工具、AI超级个体专题里阅读。 关联原因：这篇内容命中「热点解读」等主题信号。；这篇内容命中「工具」等主题信号。；这篇内容命中「效率」等主题信号。
阅读这篇文章建议先理解哪些关键词？
建议先理解AI日报、每日AI日报、AI信号、热点解读、BuilderPulse这些关键词，再结合正文判断工具、机会或风险是否值得进入自己的工作流。