Anleitung zur Quellcode-Vorschau · 0.1.0
Befunde prüfen und eine Entscheidung erfassen
Verfolge einen Bericht von Scan und Quellnachweisen bis zur begründeten Lebenszyklusentscheidung und prüfe Codeänderungen mit einem neuen Scan.
Die API-Referenz ist auf Englisch.
Beginne mit dem vorgesehenen Scan
Öffne Findings in der Weboberfläche. Wähle Projekt und Scan und lies Quelle, Abdeckung, Scanzustand und Gate-Übersicht über der Liste. Ein Dateiscan beantwortet eine engere Frage als ein Repository-Scan. Ein Scan eines festgehaltenen Git-Baums beschreibt diesen Baum, auch wenn deine aktuelle Arbeitskopie anders aussieht.
Begrenze die Liste mit Suchfeld und Schweregrad-Schnellauswahl. Klappe Filter auf, wenn Scanner oder Lebenszykluszustand relevant sind, und verwende Clear filters für die breitere Ansicht. Eine gefilterte leere Liste bedeutet nicht, dass der Scan nichts gefunden hat. Prüfe zuerst Übersicht und aktive Filter.
Wähle eine Befundzeile, um Details zu öffnen. Das Kontrollkästchen der Zeile hat einen anderen Zweck: Es nimmt den Befund in eine Sammelaktion auf. Du kannst einen Bericht prüfen, ohne ihn für eine Änderung auszuwählen.
Lies den Bericht neben seinen Nachweisen
Eine hilfreiche Prüfung verbindet sechs Angaben: Befundkennung, Scanner und Regel, Schweregrad, Quellort, Meldung und erfasste Nachweise. Lies sie zusammen. Meldet eine Regel einen riskanten API-Aufruf, musst du gegebenenfalls noch prüfen, ob nicht vertrauenswürdige Eingaben ihn erreichen. Der Scanner-Schweregrad beschreibt den Bericht und ersetzt diese Untersuchung nicht.
Der Nachweisbereich beginnt nahe dem relevanten Bereich. More code, Compact code und Max height steuern, wie viel erfasster Nachweis sichtbar ist. Sie laden keine ausgelassenen Repository-Inhalte nach. Copy evidence kopiert den erfassten bereinigten Nachweis einschließlich Text außerhalb des sichtbaren Ausschnitts. Prüfe ihn deshalb vor dem Teilen.
Prüfe Regel, Ort und Nachweise vor einer dokumentierten Entscheidung.
Vollständiges Bild öffnenBehandle den Reparaturvorschlag als zu prüfenden Vorschlag. Das Produkt wendet ihn nicht automatisch auf deinen Quellcode an. Für eine zweite Einschätzung kannst du Advisor zu diesem Befund verwenden und die Antwort mit Quelle und Scannerregel vergleichen.
Öffne die richtige Quelle im richtigen Editor
Verwende für einen Arbeitsbereichsbefund Refresh IDEs, wähle die vorgesehene gekoppelte IDE und dann Open source in VS Code. Das hilft bei mehreren verbundenen Fenstern oder Profilen. Die Zielauswahl koppelt keinen Editor und erteilt keinen Quellzugriff.
Die Quellaktion prüft Befund, Projekt, Quellkontext und Zielclient. Eine fehlende Datei, geänderte Quelle, ein falscher Client oder ein nicht unterstützter Kontext kann die Navigation verhindern. Folge dem gemeldeten Grund, statt eine ähnlich benannte Datei zu öffnen und dieselben Nachweise anzunehmen.
Ein historischer Befund aus einem festgehaltenen Git-Baum kann keine aktuelle Arbeitsbereichsdatei öffnen, als wäre sie die gescannte Version. Prüfe erfasste Nachweise und genaue Scanidentität. Nutze Git zur Untersuchung des Commits, wenn du mehr Kontext brauchst. Die VS Code-Anleitung erklärt die getrennten Aktionen Reveal Finding in Editor und Open Finding in Web.
Trenne Wiederholungshistorie und Meldungen am selben Ort
Mehrere Scanner können denselben Quellbereich melden. Other reports at this location in this view hilft beim Vergleich geladener Berichte für genau diesen Ort. Jeder behält Regel, Schweregrad, Lebenszyklus und Gate-Wirkung. Die Gruppe beschreibt die geladene Ansicht, keine vollständige Suche über alle Projekte und Scans.
Wiederholungsinformationen beantworten eine andere Frage: Ob derselbe Scanner und Fingerprint bereits in Scans dieses Projekts aufgetreten ist. Identische Meldungen innerhalb eines Scans können kanonisiert werden; spätere Beobachtungen ergänzen die Wiederholungshistorie. Eine wiederholte Meldung beweist nicht, dass ein neuer Scan unveränderte Quellen geprüft hat.
In VS Code zeigt ein Inline-Suffix +N reports ebenfalls mehrere Berichte am selben Ort an. Wähle den vorgesehenen Bericht im Baum oder in der Befundauswahl, bevor du ihn änderst.
Wähle einen Lebenszykluszustand mit Begründung
Öffne Lifecycle im Befunddetail. Wähle den Zustand, der deine Entscheidung beschreibt, und prüfe danach die aktualisierte Gate-Wirkung und Scanübersicht.
| Bewertung und Bedienelement | Gewöhnliche Zählung | Kann das Gate blockieren | Begründung erforderlich |
|---|---|---|---|
| Offen: Reopen as blocking | Ja | Ja, gemäß Richtlinie | Nein |
| Prüfung nötig: Needs review | Ja | Ja, gemäß Richtlinie | Nein |
| Nicht blockierend: Non-blocking for gate | Ja | Nein | Ja |
| Risiko akzeptiert: Accept risk | Ja | Nein | Ja |
| Ignoriert: Ignore / not counted | Unterdrückt | Nein | Ja |
| Fehlalarm: False positive | Unterdrückt | Nein | Ja |
| Behoben: Mark fixed | Unterdrückt | Nein | Ja |
Die fünf ausnehmenden oder unterdrückenden Optionen benötigen eine nicht leere Begründung mit höchstens 500 Zeichen. Gib der nächsten prüfenden Person genügend Kontext. Erkläre beispielsweise die relevante Validierung oder verweise auf eine interne Entscheidung mit Informationen, die für diese Installation angemessen sind. Trage keine Zugangsdaten oder unnötigen Quelltext in die Begründung ein.
Eine Bewertung dokumentiert eine Prüfentscheidung. Speichere Quelländerungen und scanne erneut zur Verifikation der Korrektur.
Vollständiges Bild öffnenFixed ändert die dokumentierte Bewertung. Es beweist weder eine Codeänderung noch eine wirksame Reparatur. Speichere die tatsächliche Korrektur und scanne erneut für neue Nachweise. Needs review setzt die Blockierung ebenfalls nicht vorübergehend aus. Lies die angezeigte Gate-Wirkung nach Abschluss der Aktion.
Eine Lebenszyklusänderung schließt keine Lücken der Scannerabdeckung. Ein teilweiser, fehlgeschlagener oder abgebrochener Scan bleibt als vollständiger bestandener Nachweis ungeeignet, selbst wenn alle sichtbaren Befunde ausgenommen wurden. Eine Bewertung kann außerdem eine frühere Freigabe ausgehender Historie ungültig machen, weil diese zum aktuellen Entscheidungskontext passen muss.
| Aktion | Begründung | Bewertung und Gate-Wirkung |
|---|---|---|
open | Optional | Unterdrückung und Ausnahme entfernen; den Befund in normale Prüfung und Richtlinienbewertung aufnehmen. |
needs_review | Optional | Befund zur Prüfung aktiv halten; Unterdrückung und Ausnahme entfernen. |
gate_exempt | Erforderlich | Befund sichtbar halten und aus blockierenden Gate-Zählungen ausschließen. |
accepted_risk | Erforderlich | Risikoannahme erfassen; Befund sichtbar halten und von blockierenden Gate-Zählungen ausnehmen. |
ignore | Erforderlich | Diesen Befund in aktiven Gate-Zählungen unterdrücken. |
false_positive | Erforderlich | Fehlalarmentscheidung erfassen und den Befund in aktiven Gate-Zählungen unterdrücken. |
fixed | Erforderlich | Bewertung fixed erfassen und diesen Befund unterdrücken. Das verifiziert keine Quellcodeänderung. |
Wende Sammelentscheidungen bewusst an
Kreuze die vorgesehenen Zeilen an und prüfe die ausgewählte Anzahl vor einer Sammelaktion. Die Auswahl kann mehrere geladene Seiten umfassen. Eine Aktion akzeptiert höchstens 200 Befunde. Verkleinere eine größere Auswahl, statt eine unsichtbare Aufteilung zu erwarten.
Verwende dieselben Begründungsmaßstäbe wie für einen einzelnen Befund. Eine gemeinsame Entscheidung ist sinnvoll, wenn die ausgewählten Berichte dieselbe Erklärung haben. Unterscheiden sich ihre Quellkontexte, prüfe sie einzeln. Löschen ist eine separate bestätigte Aktion, die ausgewählte Befunde entfernt, kein Lebenszykluslabel für spätere Nachprüfung.
Lass nach jeder Änderung Detail und Scanübersicht aktualisieren. Hat ein anderer Client die Revision geändert, öffne das aktuelle Detail und entscheide erneut. Eine alte Auswahl darf nicht stillschweigend auf ein neueres Ergebnis angewandt werden.
Prüfe Scanumfang und abgeleitete Artefakte
Öffne Scan scope and derived artifacts für Umfang, Refs, Dauer und unterstützte Ausgaben des ausgewählten Scans. Eine unterstützte SBOM kann Open- oder Download-Aktionen anbieten. Rohe Scanner-stdout, stderr und native Berichte sind temporäre Verarbeitungseingaben, kein allgemeines Downloadarchiv.
Erfasste Nachweise und Artefakte sind begrenzt und anhand erkannter Muster bereinigt. Prüfe ihren Inhalt vor dem Teilen. Das Vergrößern des Nachweisbereichs oder Herunterladen einer SBOM stellt nicht alle Quelldateien des Scans wieder her.
Beginne als API-Client mit dem genauen Scan und folge seinen begrenzten Befundseiten. Halte Abfrage und Revision beim Verfolgen eines Cursors unverändert. Ändert sich die Revision oder wird ein Cursor abgelehnt, beginne den Abruf neu, statt alte und neue Seiten zusammenzuführen. Befundoperationen, Scanoperationen und Artefaktoperationen dokumentieren diese Verträge.
Fahre mit Gate-Entscheidungen fort, wenn die Bewertung bestimmt, ob Arbeit weitergehen darf, oder mit Push-Schutz, wenn du die zu sendende Commit-Historie prüfen möchtest.