02/10/2026 · VietTechies · Biên tập
GitHub vừa giới thiệu tính năng bình luận bảo mật (confidential comments) cho repository security advisories, cho phép các quản trị viên repository thảo luận nội bộ về các báo cáo lỗ hổng mà không chia sẻ những ghi chú đó với người báo cáo bên ngoài hoặc các cộng tác viên được mời.
Kiểm Soát Thảo Luận Nội Bộ
Trước bản cập nhật này, mọi bình luận được đăng trên một GitHub security advisory đều hiển thị đối với tất cả những người tham gia báo cáo. Do đó, các quản trị viên khi đánh giá các nghi vấn lạm dụng, xử lý phối hợp nội bộ nhạy cảm hoặc xem xét dữ liệu theo dõi thô thường phải chuyển cuộc trò chuyện sang nền tảng khác để tránh làm lộ chi tiết sớm cho người báo cáo.
Theo hệ thống mới, người dùng có thể chọn tùy chọn bảo mật bên dưới khung bình luận trước khi đăng. Các bình luận bảo mật sẽ xuất hiện với ký hiệu phân biệt rõ ràng trên dòng thời gian của advisory và hoàn toàn bị ẩn đối với bất kỳ người dùng nào không có quyền ghi (write access) vào repository.
Quy Tắc Truy Cập Và Hạn Chế API
Quyền truy cập vào các bình luận này tự động linh hoạt theo phân quyền của repository. Nếu một người dùng mất quyền ghi vào repository, họ sẽ tự động mất khả năng xem các bình luận bảo mật hiện có. Nhằm hỗ trợ tuân thủ quy trình doanh nghiệp, GitHub sẽ ghi lại các lượt xem bình luận bảo mật trong nhật ký kiểm toán (audit log) của tổ chức.
Các nhà phát triển cần lưu ý một số giới hạn chức năng: cài đặt hiển thị của bình luận không thể thay đổi sau khi tin nhắn đã được gửi. Các tích hợp xây dựng trên GraphQL API có thể truy cập các bình luận bảo mật này, nhưng chúng sẽ bị loại trừ khỏi các phản hồi trả về từ REST API.
Khả Năng Khả Dụng Trên Các Gói Dịch Vụ
Tính năng bình luận bảo mật hiện khả dụng cho các repository công khai có bật tính năng báo cáo lỗ hổng riêng tư (private vulnerability reporting). Chức năng này hỗ trợ trên các tài khoản GitHub Free, GitHub Pro, GitHub Team và GitHub Enterprise Cloud.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Confidential comments on repository security advisories