D5「安全營運：最佳做法、優先順序與修復」15 題原創模擬題，附正確答案、解析與常見陷阱。選項順序在互動版會隨機排列。
下列哪個是格式正確的 GHSA ID？
單選題，選項：
正確答案：GHSA-2f9q-m3rv-w8cj
解析：格式是 GHSA 加三組各四碼，字元取自 23456789cfghjmpqrvwx，字母全為小寫；字母 l 不在字元集中。
常見陷阱：大小寫與字元集都有規則；看起來像的 ID 可能含不允許的字元。
EPSS 分數代表該弱點在未來 30 天內被利用的機率，而不是受影響專案的比例。
是非題：判斷敘述是否正確。
正確答案：正確
解析：EPSS 由 FIRST 提供，分數介於 0 到 1；例如 90.534% 表示未來 30 天內被利用的機率為 90.534%。
常見陷阱：把機率誤讀成「有多少專案受影響」。
一則直接從 National Vulnerability Database feed 自動發布、未經 GitHub 審查的 advisory，Dependabot 會怎麼處理？
單選題，選項：
正確答案：不為它產生 Dependabot 警示
解析：Dependabot 不為未審查的 advisory 產生警示，因為這類 advisory 未檢查有效性或完整性；只有 GitHub-reviewed advisory 會觸發。
常見陷阱：資料庫裡有的 advisory 不一定會出現在你的警示中。
惡意軟體（malware）advisory 的警示為什麼沒有修復版本？
單選題，選項：
正確答案：惡意軟體是刻意設計，需移除並換掉
解析：惡意軟體是刻意設計來執行有害功能的程式碼，沒有可升級的修復版本；需要把它從專案移除，並找替代的相依性。
常見陷阱：把惡意軟體當成一般弱點，等待升級到修復版本。
建立 security campaign 時，納入的警示數有什麼上限？
單選題，選項：
正確答案：1000 則
解析：建立 campaign 時要確認選擇的警示在 1000 則以內。
常見陷阱：與 agentic autofix 一次最多 25 則的上限混淆。
在 security campaign 中，一次最多可選幾則 code scanning 警示指派給 Copilot（agentic autofix）？
單選題，選項：
正確答案：25 則
解析：一次最多選 25 則；一次指派啟動一個 agent session，並為所選警示建立一個 pull request。
常見陷阱：campaign 的總警示上限與單次指派上限是兩個不同的數字。
Security campaign 的 campaign manager 必須是哪種身分？
單選題，選項：
正確答案：組織擁有者或 security manager
解析：Campaign manager 必須是組織的擁有者或 security manager 的使用者或團隊。
常見陷阱：能建立 campaign 的人（含具 admin 角色者）和能擔任 campaign manager 的人不完全相同。
在 GitHub Enterprise Server 上，Dependabot 警示的委派關閉需要哪個版本以上？
單選題，選項：
正確答案：3.21
解析：Code scanning 與 secret scanning 的委派關閉在 GitHub Enterprise Server 3.17 以上可用，Dependabot 則需要 3.21 以上。
常見陷阱：三種警示類型的版本門檻不同，容易全部記成 3.17。
哪個 repository property 可以停用改良的增量分析（例如因為硬體需求增加而失敗時）？
單選題，選項：
正確答案：github-codeql-disable-overlay
解析：將 github-codeql-disable-overlay 設為 true 可停用改良的增量分析。
常見陷阱：四個屬性名稱都以 github-codeql 開頭，要記對各自的用途。
團隊要先驗證 repository property 的設定效果，再推廣到整個組織。官方建議怎麼做？
單選題，選項：
正確答案：在組織建立但不設值，改在測試庫設值
解析：第一次設定屬性時，先在組織建立但不設值，改在一個測試 repository 設值並驗證，之後再推廣到組織或其他 repository。
常見陷阱：屬性套用到所有 setup 類型，直接全組織設值的影響面最大。
某團隊持有 security manager 角色。對該團隊與某 repository 有 admin 權限的人，可以對該團隊的 repository 存取做什麼？
單選題，選項：
正確答案：變更存取層級，但不能移除存取
解析：有 admin 權限的人可以變更團隊的存取層級，但不能移除存取。
常見陷阱：角色保障了存取的下限，所以「可以調整」不等於「可以移除」。
委派繞過 push protection 時，其他貢獻者提出的繞過請求會在 7 天後過期。
是非題：判斷敘述是否正確。
正確答案：正確
解析：委派繞過可為其他貢獻者的繞過請求引入審查流程，請求 7 天後過期。
常見陷阱：把審查流程想成請求會一直等到有人處理。
下列哪些人一律可以繞過 push protection？（選 3 項）
複選題，選項：
正確答案：組織內的擁有者角色；Security manager 角色；繞過名單中角色的成員
解析：組織擁有者、security manager，以及繞過名單中團隊、預設角色或自訂角色的成員，一律可以繞過；另有被指派具「審查並管理 secret scanning 繞過請求」權限之自訂角色的使用者。
常見陷阱：寫入或 admin 權限本身不等於繞過權限，要在繞過名單中。
下列哪項功能的重點是處理已累積的警示，而不是在變更進入前預防？
單選題，選項：
正確答案：Security campaigns 活動
解析：Security campaigns 針對已存在的警示做大規模修復；push protection、dependency review 與 pull request 上的 code scanning 都在變更進入前運作。
常見陷阱：都屬於安全功能，但時間點不同；題目問的是預防導向與事後處理。
Dependency review 的主要作用，是找出已經存在於相依性中的弱點。
是非題：判斷敘述是否正確。
正確答案：錯誤
解析：Dependabot alerts 找出已存在於相依性中的弱點；dependency review 則是在變更引入之前，於 pull request 顯示相依性變動與弱點。
常見陷阱：兩者都顯示弱點資料，但時間點相反。