用途
该资料面向使用 GitHub 进行代码托管与协作的开发者，介绍 GitHub 在 2025-2026 年提供的 AI 驱动安全与自动化功能，并给出配套的主干开发（Trunk-Based Development，TBD）工作流。其目标是通过 AI 能力在代码进入仓库前发现密钥泄露、在 PR 阶段审查代码与依赖、自动修复安全漏洞，并用智能体自动处理缺陷与生成 PR。
主要能力
1. GitHub 密钥保护（AI 驱动）
AI 在密钥进入仓库前进行检测，提供推送保护（Push Protection）。当尝试推送包含密钥的提交时，推送会被阻止，并提示发现的密钥类型、匹配模式、文件与行号，以及可选处理方式（移除密钥重试、标记为误报并说明理由、请求管理员审查）。资料给出的修复方式是改用环境变量读取密钥。
支持的密钥类型（AI 增强）包括：AWS 凭据、Azure 服务主体、Google Cloud 密钥、GitHub 令牌、数据库连接字符串、API 密钥（如 OpenAI、Stripe 等）、私钥（SSH、TLS）、OAuth 令牌，以及基于正则的自定义模式。
2. GitHub 代码安全
- CodeQL 代码扫描：AI 驱动的静态分析，通过
.github/workflows/codeql.yml工作流配置，在 push 与 pull_request 到 main 分支时运行。可检测 SQL 注入、XSS 漏洞、路径遍历、命令注入、不安全的反序列化、认证绕过、逻辑错误等。 - Copilot Autofix：AI 自动修复安全漏洞。资料以 SQL 注入为例，展示将字符串拼接查询改为参数化查询，并支持一键应用修复。
3. GitHub 智能体（自动化工作流）
- 缺陷修复智能体：通过
.github/workflows/ai-bugfix.yml配置，在 issue 被打上bug标签时触发，分析缺陷并生成修复，可创建 PR。 - 自动 PR 生成：当 issue 被打上
enhancement标签时，智能体分析 issue 描述、生成实现代码、创建测试并打开带说明的 PR。资料以“添加深色模式切换”为例，说明生成的 PR 可能包含组件、上下文提供者、测试与文档更新。
4. 依赖审查（AI 增强）
通过 .github/workflows/dependency-review.yml 配置，在 PR 中分析依赖变更，可设置按严重级别（如 high）与作用域（如 runtime）失败。AI 洞察包括：新依赖中的已知漏洞、许可证合规问题、更新中的破坏性变更、更安全的替代包、依赖新鲜度评分。
使用方式
资料以配置片段和命令示例说明使用方式：
- 密钥保护：在仓库设置中启用密钥扫描的推送保护与 AI 检测。
- CodeQL：添加
.github/workflows/codeql.yml，为项目所有语言启用。 - Copilot Autofix：每周审查安全告警，应用 Copilot 建议的修复，合并前测试。
- 智能体：通过工作流文件配置触发条件与任务，自动完成缺陷分类、PR 创建、依赖更新，并在合并前审查所有 AI 生成的代码。
- 主干开发：分支生命周期小于 1 天，提交频率每 2-4 小时一次，main 分支始终可部署。资料给出创建任务分支、提交、推送、创建 PR、合并并删除分支的完整命令示例，以及小步频繁提交的模式对比。
适用场景
- 需要在提交阶段阻止密钥泄露的团队。
- 希望在 PR 阶段自动进行代码安全扫描与依赖风险审查的项目。
- 希望用 AI 自动修复安全漏洞、自动处理缺陷与生成 PR 的团队。
- 采用或计划采用主干开发、追求小步提交与快速反馈的工程团队。
限制
资料未提供这些功能的收费、价格、平台可用性范围、效果量化数据或具体使用步骤的完整说明；部分能力（如智能体工作流）以示例配置呈现，实际可用性需以 GitHub 官方为准。资料中关于收益的表述（如合并冲突减少 75%）为原文陈述，未提供来源与验证方式。