在 GitHub Copilot 推出过程中维护代码库标准

大多数企业都了解 AI 编码工具可以带来的生产力提升。然而，许多人担心公司内部的不当使用，例如恶意提示或开发者在未审查的情况下接受 AI 建议，会导致代码库标准受到破坏。

您可以通过设置 GitHub 环境和工作文化，以实现有效治理，从而降低这些风险。GitHub Copilot 的一大优势在于它内置于 GitHub 平台，而该平台已经具备一系列企业级代码治理功能。

1. 要求拉取请求和审查

开发者和恶意行为者绝不应能够单方面将未经审查的 AI 建议或代理工作直接应用于敏感代码库。您应在用户将代码合并到生产代码库及其他重要分支之前，要求 已批准的拉取请求。

为此，请创建一个规则集

识别包含您想要保护的代码库的组织或仓库，并对其 应用自定义属性。这将使您能够在规则集中轻松定位这些资源。请参阅管理组织中仓库的自定义属性或管理组织的自定义属性。

或者，您也可以手动将这些受保护资源添加到规则集，或根据命名约定进行定位。
为您的企业创建分支规则集。请参阅使用规则集在企业中实施代码治理。
- 至少启用 合并前要求拉取请求 和 阻止强制推送 规则。在“合并前要求拉取请求”规则下，确保至少需要一次批准。
- 如有需要可启用其他规则。例如，如果您担心恶意行为者劫持拉取请求，请确保在推送新提交时 撤销过期的拉取请求批准。
鼓励仓库管理员为仓库中的特定文件设置 CODEOWNERS 文件。这将在这些文件被修改时自动请求代码所有者审查。

然后，您可以返回规则集并启用 要求代码所有者审查 规则。
鼓励组织所有者和仓库管理员创建更具体的规则集，因为他们更了解自己代码的需求。

这些规则集将补充您在企业层面定义的基线，但永不覆盖基线。

良好的 DevOps 实践可确保代码在合并和部署之前自动进行测试，最大程度降低错误进入默认分支并在生产环境中出现的风险。

Copilot 已经设计为避免向代码库中引入漏洞。例如，Copilot 云代理生成的代码会自动扫描易受攻击的模式和诸如 API 密钥之类的机密信息。

然而，定期扫描所有代码中的漏洞和机密信息，以及防止开发者首次引入漏洞，都是良好实践。

作为起点，请在您的组织上应用并强制执行基本的 安全配置。这是一组安全功能的启用设置。我们建议包括代码扫描、机密扫描和机密推送保护。请参阅创建自定义安全配置。
随着对需求的了解加深，您可以创建额外的自定义配置，或在仓库层面应用细粒度设置。
要在拉取请求上强制代码扫描，请返回规则集并启用 要求代码扫描结果 规则。

为了从根本上提升 Copilot 建议的质量，您应创建自定义指令。这些指令为所有提示添加上下文，告知 Copilot 遵循贵公司的编码标准。

要建立良好的基线，请在组织层面创建 自定义指令。这些可以是适用于任何仓库的高级标准。但请注意，这些指令仅在 GitHub 网站上生效。请参阅为 GitHub Copilot 添加组织自定义指令。
为实现更全面的覆盖，鼓励开发者和仓库管理员 为特定仓库编写自定义指令。这些指令比组织指令适用范围更广，并可更详细地说明每个项目及其需求。请参阅为 GitHub Copilot 添加仓库自定义指令。