🛡️ Microsoft Security DevOps
Microsoft 的 GitHub Action 可在設定的工作流程中執行資安掃描並回報結果；推送前仍須自行檢查機密。
📅 發布：2026-08-26 ｜ 🔄 最後更新：2026-08-26
一句話定位：在設定的 GitHub 工作流程中再掃一次，回報所用工具能偵測的問題
為什麼用
本機的資安檢查（例如 DevSkim、pre-commit hook）能擋大部分問題，但擋不住「這次剛好被繞過」的情況 — 趕時間跳過檢查、換了台電腦忘記裝、或有人直接編輯 GitHub 網頁版沒經過本機。
Microsoft Security DevOps（MSDO）是一個 GitHub Action，可依工作流程設定執行資安掃描，並產出 SARIF 結果；若另設上傳步驟，結果可顯示在 GitHub 的 Security 分頁。**這是在程式碼推送後執行，不能阻止機密先進入版本紀錄，也不保證找出所有金鑰或漏洞。**推送前仍要檢查機密；若要在推送時阻擋支援的金鑰類型，須另外設定 GitHub 的推送保護。
Microsoft 官方出品，免費開源（MIT 授權，目前標示 Preview）。
Cassie 怎麼用
她把這個工具跟 DevSkim 搭配：本機編輯時看 DevSkim 提示，程式碼推送後再看 MSDO 的掃描結果。兩者提供不同時點的提醒，不能取代推送前的機密檢查。
對位 Cassie 系統
| 用途 | 對應方式 |
|---|---|
| 推上 GitHub 時的資安掃描 | 補在 flow-security-check skill 的雲端這一層 |
| 對外交付前的最後一道網 | 搭配 security-review skill、resource-templater 去個人化掃描一起用 |
| 檢查推送後的結果 | 跟本機提交前掃描互補；要在推送時阻擋支援的機密須另設推送保護 |
安裝
這是 GitHub Action，不是本機安裝的軟體。以下是放進 .github/workflows/ 工作流程中的步驟片段；仍須設定觸發條件與工作內容，參照 Microsoft 官方範例完成設定：
permissions:
security-events: write
steps:
- uses: actions/checkout@v3
- name: Run Microsoft Security DevOps
uses: microsoft/security-devops-action@latest
id: msdo
- name: Upload results to Security tab
uses: github/codeql-action/upload-sarif@v3
with:
sarif_file: ${{ steps.msdo.outputs.sarifFile }}不會打指令？複製這句話給你的 AI 員工（Claude Code）就好：
「幫我在這個 GitHub 專案加一個 Microsoft Security DevOps 的掃描工作流程，裝完跑一次給我看掃到什麼。」
學員實戰範例
場景：想確認自己的 GitHub 專案有沒有不小心把金鑰推上去
- 跟 AI 員工說「幫我把 Microsoft 的 Security DevOps 掃描裝到我的 GitHub 專案上」
- AI 員工在
.github/workflows/建立對應的 YAML 設定 - 工作流程觸發後，到 Actions 分頁確認是否執行，再到 Security 分頁查看上傳的結果
場景：本機資安檢查被跳過了，想知道有沒有漏網之魚
- 已經設定在推送時觸發 MSDO 的專案，推送後確認工作流程執行
- 去 repo 的 Security 分頁看有沒有被標記的問題
- 有問題就照標記位置逐條修，不用自己回頭猜哪裡可能有漏洞
相關工具
- 🛡️ DevSkim — 課程裡跟這個工具搭配介紹，本機即時檢查那一層
- 🛠️ 免費工具庫首頁 — 完整工具清單