这个比那 github security 机器人好太多了。github 那个我觉得最大的问题之一是不尊重仓库的 registry 设置，上来就给改成了默认的源。根本没法用。