2FA

主机代码，你不想与世界共享在私人GitHub存储库，只有你和你分享它们的人可以访问。

确保在协作者可以对受保护的分支进行更改之前，pull requests有一定数量的审核。

确保所有必要的配置项测试都通过，然后协作者才能对受保护的分支进行更改。

使用静态分析查找自定义代码中的漏洞。通过扫描每个拉请求来防止引入新的漏洞。

在您的公共和私有存储库中查找硬编码的秘密。撤销它们以确保您使用的服务的访问安全。

使您的公共存储库能够私下接收来自社区的漏洞报告，并协作制定解决方案。

查看您的项目所依赖的包，依赖它们的存储库，以及在它们的依赖关系中检测到的任何漏洞。

当有新的漏洞影响您的存储库时，获得通知。GitHub检测并提醒用户公共和私有回购中存在的易受的依赖关系。

通过自动打开更新易受或过期依赖项的拉取请求，确保您的供应链安全并保持最新。

在合并请求之前，了解新引入的依赖项在拉请求期间对安全性的影响。

私下报告、讨论、修复和发布有关在开放源代码仓库中发现的安全漏洞的信息。

浏览或搜索GitHub知道的漏洞。数据库包含GitHub依赖关系图上的所有CVE和安全建议。

使用GPG或S/MIME在本地对标记和提交进行签名。这些在GitHub上被标记为已验证，这样其他人就知道这些更改来自可信的来源。

快速查看组织成员执行的操作。您的审核日志包括诸如谁执行了操作以及何时执行操作等详细信息。