GitHub AI Scan 正式可用：在 PR 里扫 CodeQL 覆盖不到的 PHP、Shell、Terraform 和 Dockerfile，公开仓库可用
代码扫描补上了 CodeQL 的语言空白，但只给建议、不拦合并。
// 要点
- 扫描 PR 中 CodeQL 目前不覆盖的语言与框架，包括 PHP、Shell/Bash、Terraform（HCL）、Dockerfile、Java 的 JSP 和 C# 的 Blazor。
- 结果以「AI」标记显示在 Conversation 和 Files changed 标签页，可附风险说明和自动修复建议；不会让代码扫描检查失败，也不能通过规则集阻止合并。
- 组织或个人的公开仓库可用；组织的私有和内部仓库需要 GitHub Code Security 或 GitHub Advanced Security，不需要 Copilot 许可。
- 不扫描来自 fork 和 Dependabot 的 PR；消耗 Code Security AI Credits，可设置 SKU 级预算。
开发者视角我们的部署脚本、Dockerfile 和 Terraform 恰好是 CodeQL 从来没扫过的部分，公开仓库现在可以直接开。我会先在这个站的公开仓库上打开，看它对 GitHub Actions 里那些 Shell 步骤报出什么；因为它只提示不拦截，前两周把误报和漏报记下来，再决定要不要把它的结果接进评审规则。