GitHub Ubah Jadual Imbasan Kod: Semak Semula Projek yang Tidak Aktif

Projek yang jarang disentuh tetap memerlukan perhatian apabila pasukan menilai keselamatan perisian. Pada 1 Oktober 2026, GitHub mengumumkan perubahan pada pencetus imbasan kod mingguan untuk repositori tidak aktif. Perubahan kecil ini memberikan sebab yang baik untuk menyemak bagaimana pasukan mengetahui bahawa kod mereka benar-benar telah diperiksa.

Apa yang berubah pada imbasan mingguan

Menurut GitHub, imbasan mingguan bagi code scanning melalui default setup dan GitHub Code Quality kini hanya bermula selepas push atau pull request mencetuskan analisis. Mengaktifkan default setup masih menjalankan imbasan pengesahan awal dan menghasilkan dapatan, tetapi tindakan itu sahaja tidak lagi memulakan jadual mingguan.

Penentuan aktiviti menggunakan sejarah analisis, bukannya sejarah Git sebelum pengimbasan diaktifkan. GitHub menyatakan perubahan ini tidak memerlukan pelarasan konfigurasi pengguna. Ia sudah terpakai pada GitHub Enterprise Cloud ketika diumumkan; sokongan Enterprise Server 3.24 pula disebut sebagai sokongan akan datang. Oleh itu, pentadbir pemasangan sendiri perlu membezakan pengumuman awan daripada versi yang mereka gunakan.

Sumber: Scheduled code scanning skips inactive repositories.

Status diaktifkan belum menjelaskan keseluruhan keadaan

Dokumentasi GitHub menerangkan bahawa default setup memerlukan GitHub Actions diaktifkan serta repositori awam atau GitHub Code Security yang diaktifkan. Ia juga menjelaskan satu keadaan penting: jika analisis gagal untuk semua bahasa yang disokong CodeQL dalam repositori, default setup boleh kekal diaktifkan walaupun tiada imbasan berjalan.

Dokumentasi turut menyatakan jadual mingguan dinyahaktifkan selepas enam bulan tanpa push dan pull request. Pemilik organisasi mempunyai pilihan mengaktifkan imbasan bulanan bagi repositori tidak aktif. Ini memberikan konteks tambahan kepada pengumuman baharu: pasukan perlu memahami syarat pelaksanaan dan pilihan jadual, selain melihat sama ada ciri itu telah dihidupkan.

Sumber: Configuring default setup for code scanning.

Cari bukti melalui halaman status alat

GitHub menyediakan halaman Tool status melalui bahagian Code scanning. Bagi alat bersepadu seperti CodeQL, halaman ini memaparkan peratusan fail yang paling baru diimbas mengikut bahasa pengaturcaraan. Pengguna juga boleh melihat maklumat konfigurasi, butiran analisis dan mesej ralat yang berkaitan.

Laporan CSV boleh dimuat turun untuk memeriksa laluan fail, bahasa, konfigurasi yang digunakan serta sama ada pengekstrakan fail berjaya. Senarai peraturan pemeriksaan dan jumlah amaran bagi setiap peraturan juga tersedia. Maklumat ini menyediakan asas semakan yang lebih terperinci apabila pasukan mahu mengetahui bahagian projek yang telah dianalisis atau menyiasat kegagalan sesuatu konfigurasi.

Sumber: Use the tool status page for code scanning.

Cadangan editorial untuk pasukan IT Malaysia

Sebagai cadangan editorial, pasukan di syarikat kecil, agensi pembangunan atau institusi pendidikan boleh memulakan semakan dengan inventori ringkas. Catat pemilik repositori, tujuan projek, sama ada aplikasinya masih digunakan, dan siapa yang bertanggungjawab menilai dapatan keselamatan. Bezakan projek latihan yang telah selesai daripada aplikasi pelanggan yang masih perlu diselenggara.

Bayangkan sebuah pasukan tempatan mempunyai portal dalaman yang stabil dan jarang menerima perubahan kod. Kami mencadangkan supaya keputusan mengenai pemeriksaan portal itu mengambil kira pengguna dan tanggungjawab penyelenggaraannya. Kekerapan perubahan kod sahaja tidak sepatutnya menjadi ukuran keutamaan dalaman pasukan.

Dalam mesyuarat penyelenggaraan, minta pemilik projek membawa bukti analisis terakhir yang berjaya serta penjelasan tentang liputannya. Tetapkan tarikh semakan seterusnya dan pihak yang akan menyiasat ralat. Contoh ini ialah cadangan pengurusan kerja untuk pembaca Malaysia, bukannya dapatan kajian tentang amalan syarikat tempatan atau arahan rasmi GitHub.

Cadangan latihan untuk pelajar dan pembangun junior

Untuk latihan, pilih repositori percubaan yang anda miliki dan yang memenuhi syarat dokumentasi. Tulis jangkaan sebelum mengaktifkan pengimbasan: apakah analisis awal yang patut muncul, apakah tindakan pembangunan yang akan diuji, dan di manakah bukti kejayaannya akan diperiksa? Kemudian bandingkan pemerhatian sebenar dengan jangkaan tersebut.

Sediakan catatan pendek yang membezakan tetapan, pelaksanaan dan hasil. Rekod bahasa yang dianalisis, fail yang diliputi, sebarang ralat serta tindakan susulan yang dicadangkan. Elakkan membuat kesimpulan bahawa keseluruhan aplikasi selamat hanya berdasarkan satu paparan atau satu analisis yang selesai.

Bagi portfolio, kami mencadangkan laporan ringkas yang menunjukkan cara anda menyiasat keadaan sebenar dan menerangkan batas pemeriksaan. Gunakan projek demonstrasi tanpa maklumat sulit. Latihan ini boleh dijadikan bahan perbincangan teknikal tentang pemerhatian, bukti dan keputusan penyelenggaraan, tanpa menjanjikan kelebihan tertentu dalam pengambilan pekerja.

Rujukan

• Scheduled code scanning skips inactive repositories — 2026-10-01
• Configuring default setup for code scanning
• Use the tool status page for code scanning

Disediakan secara automatik dengan bantuan AI berdasarkan sumber yang dipautkan. Semakan sumber: 2026-10-04. Gambar utama ialah ilustrasi janaan AI, bukan foto peristiwa sebenar.