Anleitung zur Quellcode-Vorschau · 0.1.0

Aus dem Quellcode starten

Baue das Backend, verbinde deinen Editor und begleite ein erstes Repository von der Einrichtung bis zum geprüften Befund.

Die API-Referenz ist auf Englisch.

Wähle ein erstes Repository

Beginne mit einem kleinen Repository, dessen Inhalte du sicher prüfen kannst. Ein absichtlich verwundbares Beispiel hilft beim Kennenlernen der Prüffunktionen. Scanne jedoch nur seine Dateien, ohne Anwendung oder Deployment-Befehle auszuführen. Verwende keine echten Zugangsdaten im Beispiel.

CodeSecurity hat zwei Arbeitsoberflächen: die lokale Weboberfläche und eine VS Code-Erweiterung. Das Backend führt Scanner aus und speichert Projekte, Jobs und Befunde. Die Erweiterung bringt diese Befunde in den Editor und öffnet die gekoppelte Weboberfläche für eine genaue Prüfung. Diese Dokumentationswebsite ist eine separate, statische Referenz.

Version 0.1 ist eine Quellcode-Vorschau. Prüfe den Plattform- und Release-Status, bevor du einen Installationsweg wählst. Die Marketplace-Veröffentlichung steht noch aus; deshalb wird die Erweiterung aus einer geprüften VSIX installiert.

Starte das Backend

Folge der Installationsanleitung und den festgeschriebenen Plattformanweisungen. Führe unter macOS oder nativem Linux Folgendes im geprüften Produktquellverzeichnis aus:

python3 scripts/start-lomo.py

Der Launcher baut und startet das Backend. Er erhält dein bestehendes VS Code-Profil und installiert oder öffnet die Erweiterung standardmäßig nicht. Der erste Build benötigt Platz auf dem Host und im Docker-Speicher. Prüfe die Voraussetzungen vor dem Start.

Windows verwendet einen eigenen Startweg aus dem Quellcode. Wähle bewusst zwischen nativem Windows VS Code und Remote WSL. Eine lokale Erweiterungsinstallation installiert sie nicht zugleich im WSL-Erweiterungshost.

Verwende bei späteren Starts denselben Installationszustand und dieselben Optionen. Ein neues Zustandsverzeichnis erzeugt eine andere Installation; es stellt die bestehende nicht wieder her.

Verbinde das vorgesehene Editorprofil

1. Öffne das Repository in dem VS Code-Profil, das du verwenden möchtest.
2. Baue oder beschaffe die geprüfte VSIX nach der Installationsanleitung und verwende Extensions: Install from VSIX… in diesem Profil.
3. Führe CodeSecurity: Get Started über die Befehlspalette aus.
4. Prüfe VS Code Workspace Trust für den tatsächlichen Arbeitsbereich.
5. Folge Connect and trust oder führe direkt CodeSecurity: Connect / Review IDE Access aus.

Bei einer fabrikneuen Installation kann das erste geeignete Profil die einmalige Eigentümerberechtigung beanspruchen. Spätere Profile benötigen die Freigabe ihrer genauen ausstehenden Anfrage im Browser eines bestehenden Eigentümers. Die Authentifizierungsanleitung erklärt beide Wege und die getrennte Browsermitgliedschaft.

Das sechsstufige Get Started-Panel behandelt Backend, Verbindung, Repositories, Scans, Prüfung und Schutz. Fortschrittsmarkierungen zeigen die Beobachtungen der Erweiterung. Jede Aktion prüft den aktuellen Zustand erneut; ein früheres Häkchen ersetzt keine aktuelle Bereitschaftsprüfung.

Wähle und autorisiere Quellcode

Lass bei einem einzelnen Repository dessen Ordner geöffnet. Verwende für mehrere Repositories unter einem übergeordneten Ordner CodeSecurity: Choose repositories in this workspace… und wähle die einzelnen untergeordneten Repositories. Der übergeordnete Ordner kann als Editorcontainer geöffnet bleiben.

Arbeitsbereichszugehörigkeit, Repository-Auswahl und Scannerzugriff sind getrennte Schritte:

• Add Folder to Workspace… ändert die in VS Code geöffneten Ordner.
• Choose repositories… speichert die genauen untergeordneten Kontexte für die Erweiterung.
• Authorize another source root in Projects bereitet die ausdrückliche Hostaktion vor, die Scannern Lesezugriff erteilt.
• Add Project registriert ein Verzeichnis innerhalb einer autorisierten Grenze.

Prüfe den kopierten Hostbefehl und führe ihn im Quellcheckout des Backends aus. Autorisiere die eng begrenzten Repository-Wurzeln, die du scannen möchtest, nicht deren breiten gemeinsamen Elternordner. Die Anleitung zu Quellen und Scans erklärt die folgenden Prüfungen.

Bereite Scanner vor und starte den ersten Scan

Öffne das Dashboard und wähle Tools > Prepare all scanners. Verfolge den bestehenden Vorbereitungsjob, bis die aktivierten Scanner geprüfte Binärdateien, Regeln und Daten haben. Ein gesundes Backend oder ein abgeschlossener Download allein beweist keine Scannerbereitschaft.

Wähle das registrierte Repository in Projects. Die Checkliste Scan setup prüft Kerndienste, Quellzugriff und Scannerdaten. Sobald die Voraussetzungen erfüllt sind, prüfe den Scanumfang und starte einen Scan mit vollständiger Abdeckung. VS Code bietet außerdem Scan Workspace with Lomo CodeSecurity und Scan Workspace Folders… für die ausdrückliche Einreichung im Editor.

Bewahre die zurückgegebenen Scan- und Jobidentitäten auf. Öffne Jobs, wenn du die Seite verlässt oder die Verbindung verlierst. Erneutes Öffnen startet keinen weiteren Scan; Schließen bricht akzeptierte Arbeit nicht ab.

Schließe die erste Prüfung ab

1. Öffne Findings für den abgeschlossenen Scan.
2. Lies Abdeckung und Gate-Zustand, bevor du die Befundzahl bewertest.
3. Wähle einen Befund und prüfe Scanner, Regel, Fundort und erfasste Nachweise.
4. Öffne den validierten Quellort in der vorgesehenen IDE und lies den umgebenden Code.
5. Erfasse gegebenenfalls eine begründete Bewertung. Speichere Codeänderungen und führe einen neuen Scan für neue Nachweise aus.

Ein abgeschlossener Scan kann sein Richtlinien-Gate nicht bestehen. Eine leere Liste kann auch zu einer unvollständigen Analyse gehören. Die Befundanleitung und Gate-Anleitung erklären diese Unterschiede.

Der optionale Advisor bietet eine zweite Einschätzung eines Befunds. Sobald die Prüfung vertraut ist, kannst du separat Push-Schutz anwenden auf den vorgesehenen Klon. Ein Arbeitsbereichsscan installiert keinen Git-Hook.

Finde die nächste Funktion

Die Tour durch die Weboberfläche zeigt Projects, Tools, Jobs und Settings. Die VS Code-Integrationsanleitung behandelt Baumansicht, Problems, Hover, Quick Fix, alle Befehle und beide Erweiterungseinstellungen. Beginne bei Verbindungsproblemen oder unterbrochener Arbeit mit Wiederherstellung, statt den Installationszustand neu anzulegen.