如何在PR变更时刷新GitHub Code Scanning告警避免重复

你提出的分支PR变更时自动刷新GitHub Code Scanning告警、移除失效旧告警、避免重复新告警的需求完全可以实现。你遇到的force push后旧告警未清理、重复生成新告警的问题，是默认代码扫描配置没有适配force push场景、缺少对应清理逻辑导致的，不属于平台功能限制。

• 调整代码扫描工作流的触发判断逻辑
  首先修改仓库中.github/workflows目录下的代码扫描工作流文件，在触发步骤中增加事件类型判断：
  • 普通新增commit场景：保留默认增量扫描逻辑，仅针对本次提交的变更代码运行扫描，不需要全量扫描整个分支，从源头减少无效扫描和重复告警生成的概率。
  • force push场景：通过工作流上下文中的github.event.forced字段识别强推操作，当该字段值为true时，切换到强推适配的扫描逻辑，不要沿用普通commit的增量扫描规则。
• 增加force push场景的旧告警清理步骤
  识别到force push事件后，优先选择实现成本更低的全量重扫方案：先清理当前PR对应分支下所有处于打开状态的历史代码扫描告警，再对分支全量代码执行一次完整扫描，扫描完成后上传结果即可，这种方案不会残留旧失效告警，也不容易出现漏判。
  如果分支代码体量较大、全量扫描耗时过长，可以选择增量重扫方案：先计算强推前后的commit差异范围，仅对差异范围内的提交执行扫描，同时删除该差异范围之前生成的对应告警，该方案逻辑复杂度更高，容易出现漏删问题，非必要不选择。
• 校准告警去重标识规则
  检查扫描结果输出的SARIF文件配置，确保同一段代码触发同一条扫描规则时，生成的告警fingerprint（唯一标识）保持稳定。GitHub Code Scanning会自动根据fingerprint字段对告警去重，如果fingerprint生成逻辑不稳定（比如每次扫描都随机生成、或者把commit hash作为fingerprint的计算因子），就会出现同一条问题重复生成告警的情况。如果使用的是官方CodeQL扫描，默认fingerprint逻辑是符合要求的，如果是第三方自定义扫描工具，需要自行校准该字段的生成规则。
• 配置必要的工作流权限
  要确保运行扫描工作流的GITHUB_TOKEN拥有security_events: write权限，否则工作流既无法上传扫描结果，也无法调用接口清理旧的失效告警。
• 完成配置后做场景验证
  配置完成后分别做两个场景的测试：
  1. 向PR分支普通推送新commit，确认扫描仅覆盖本次提交的变更，不会重复生成已存在的告警
  2. 对PR分支执行force push（比如amend提交、rebase后强推），确认旧的失效告警被正常清理，扫描完成后仅展示当前代码实际存在的告警，无重复条目。

内容的提问来源于stack exchange，提问作者Jonathan Woollett-light