Anleitung zur Quellcode-Vorschau · 0.1.0

CodeSecurity in VS Code verwenden

Nutze Findings-Baum, Problems, Hover, Quick Fix und Inline-Annotationen mit einer vollständigen Referenz aller Erweiterungsbefehle und Einstellungen.

Die API-Referenz ist auf Englisch.

Verbinde den vorgesehenen Editor

Die Erweiterung lomo-dev.code-security bringt lokale Scanergebnisse in Desktop-VS Code. Ihre VSIX installiert oder startet das Backend nicht. Folge Erste Schritte für den Quellstart und installiere die geprüfte oder lokal gebaute VSIX über Extensions: Install from VSIX… im vorgesehenen Profil.

Die öffentliche Erweiterung deklariert VS Code ^1.135.0. Marketplace-Veröffentlichung steht aus. Browser-only VS Code, virtuelle Repositories und nicht unterstützte Remotehosts sind keine Quellkontexte dieser Erweiterung. Installiere sie für Remote WSL im ausgewählten WSL-Erweiterungshost.

CodeSecurity: Get Started öffnet die sechs Schritte: Backendstart, Verbindung und Vertrauen, Repository-Auswahl, Scannervorbereitung, Befunde und Push-Schutz. Detailed instructions öffnet die gebündelten Hinweise zum gewählten Schritt. Häkchen zeigen beobachteten Fortschritt; Öffnen der Anleitung autorisiert keine Quellen, startet keinen Scan und installiert keinen Schutz.

Prüfe Workspace Trust wie üblich. IDE-Einschreibung ist im Restricted Mode möglich; Quelloperationen und integriertes Dashboard benötigen Vertrauen. Das Dashboard verlangt außerdem dauerhaften Browserspeicher. CodeSecurity erklärt diese Bedingungen, ohne sie selbst zu ändern.

Eine fabrikneue Installation kann den Ersteigentümerablauf anbieten. Spätere Profile zeigen Approval needed; der Eigentümer muss passenden Code, Endpunkt und Profil in Settings > IDE access prüfen. Die Authentifizierungsanleitung erklärt Freigabe und Browserkopplung getrennt.

Wähle Repositories ohne den Elternordner zu verschieben

Enthält ein geöffneter Elternordner mehrere Repositories, führe Choose repositories in this workspace… aus. Prüfe die begrenzte Kindererkennung und wähle die vorgesehenen Repositories. Der Elternordner kann im Editor offen bleiben.

Auswahl, Host-Quellautorisierung, Projektregistrierung und Scannen sind getrennt. Ein ausgewähltes Kind gewährt keinen Zugriff auf Eltern oder Geschwister. Prüfe die angebotene enge Autorisierung vor der Anwendung. Entfernen einer Auswahl löscht kein Projekt, widerruft keinen Scannerzugriff und entfernt keinen Push-Schutz.

Findings bietet auch VS Codes Add Folder to Workspace…. Dies ändert nur die Editorzugehörigkeit. Entsteht ein unbenannter Arbeitsbereich, validiert die Erweiterung gespeicherte Auswahlen erneut. Ist das ursprüngliche Fenster nicht identifizierbar, verwende Restore selections oder wähle Repositories neu. Wiederherstellen erteilt keinen neuen Zugriff.

Ein leerer vertrauenswürdiger Arbeitsbereich bietet Get Started, Add Folder to Workspace… und Open Dashboard. Mit geöffneten Ordnern kommen Refresh Findings, Repository-Auswahl und Scan Workspace Folders… hinzu. Restricted Mode bietet Einrichtung und Manage Workspace Trust.

Scanne den vorgesehenen Umfang

Bereite benötigte Scannerdaten vor einem vollständigen Scan in Tools > Prepare all scanners vor. Gewöhnliche Erweiterungsscans verlangen vollständige Abdeckung und rufen keine KI auf. Sie lesen gespeicherte Datenträgerinhalte; speichere Änderungen zuerst.

Nutze den Arbeitsbereichsbefehl für das ausgewählte Repository, die Ordnerauswahl für einen geprüften Stapel oder Explorer-Aktionen für einzelne Dateien und Ordner. Diese Ergebnisse tragen file only oder folder only. Sie ersetzen die aktuelle Editorprojektion dieses Repositorys, ohne vollständige Repository-Abdeckung zu belegen. Frühere Scans bleiben in der Webhistorie.

Ein Stapel erhält je ausgewählter Wurzel eigenes Projekt, Scan, Job und Gate. Abbruch vor dem Einreichen startet nichts. Abbruch des aktuellen Jobs lässt spätere Wurzeln ungestartet; ein unklares Ergebnis stoppt ebenfalls spätere Aufträge. Kläre die ursprüngliche Arbeit in Jobs vor einem neuen Stapel.

Refresh Findings liest Ergebnisse ausgewählter Wurzeln. Es scannt weder geänderte Dateien noch registriert es neue Projekte. Unabhängige Ergebnisse bleiben sichtbar, wenn eine Wurzel scheitert. Die Scananleitung erklärt Vorbereitung, begrenzte Abdeckung und Umfang ausführlich.

Navigiere im Findings-Baum

Öffne die Aktivitätsleiste CodeSecurity und ihre Ansicht Findings. Ergebnisse gruppieren sich nach Repository, Datei, Schweregrad und Lebenszyklus vor dem einzelnen Befund. Repository-Zeilen zeigen Zahlen und Gate-Kontext; file-only-, folder-only- oder unbekannter Umfang bleibt ausdrücklich sichtbar.

Klappe den gewünschten Zweig auf und wähle einen Befund zum Anzeigen der Quelle. Die Zeile bietet separate Editor- und Browserschaltflächen. Open Finding in Web öffnet den genauen scanlokalen Befund im gekoppelten Dashboard, ohne neuen Scan oder Advisor. Reveal Finding in Editor validiert und öffnet den Quellort unter Beachtung der Editorgruppe.

Open scan history führt zum ausgewählten Scan in der Weboberfläche. Dateien werden in begrenzten Gruppen seitenweise geladen; reichhaltige Editordetails haben eigene Grenzen. Folge Open full file findings in local workbench, wenn angeboten, statt den geladenen Baum als vollständig anzusehen.

Ein historisches Ergebnis eines festgehaltenen Git-Baums bleibt an diesen gebunden. Es kann nicht als aktuelle Arbeitsbereichsdatei angezeigt werden. Fehlende, geänderte oder unautorisierte Quellen müssen vor erfolgreicher Navigation geklärt werden.

Lies die Statusleiste als aktuelle Beobachtung

Das Schildsymbol zeigt Verbindung und Kontext des ausgewählten Ergebnisses. Je nach Zustand kann es Gesundheit, Gate- und Befundzahlen, veraltete Nachweise oder Fortschritt der Problems-Projektion zeigen. Zahlen gelten für den gewählten Umfang; ein file-only-Ergebnis zählt nicht alle Repository-Probleme.

Vor Abschluss der Verbindungsprüfung beweist der Status keine Dienstgesundheit. Während Wiederverbindung oder Ausfall können erhaltene Ergebnisse als gecacht erscheinen. Ausstehende Einschreibung zeigt Freigabestatus und Bestätigungscode.

Klicke für die aktuelle Aktion: Verbindungswiederherstellung bei Ausfall, Zugriffsprüfung bei benötigter Freigabe oder Dashboard bei Verbindung. Erfolgreiches Wiederverbinden gewährt keinen Quellzugriff und genehmigt keinen Repository-Push-Schutz.

Nutze Problems für native Diagnosenavigation

Öffne VS Codes Problems, um CodeSecurity-Diagnosen neben Berichten anderer Erweiterungen zu nutzen. Jede CodeSecurity-Diagnose enthält Scannerquelle und scanlokale Befundkennung. Auswahl öffnet den entsprechenden Quellbereich.

Problems verwendet eine eigene CodeSecurity-Diagnosesammlung. Laden, Nichtverfügbarkeit oder Kapazitätsbegrenzung ist getrennt von der Befundzahl. Eine ausdrücklich begrenzte Projektion ist kein vollständiges Scanergebnis; nutze Baum und genauen Webscan für übrige Befunde.

Inline-Annotationen auf Off zu stellen lässt Problems aktiv. Nach Bearbeiten, Umbenennen oder Löschen von Quellen können alte Annotationen veralten oder verschwinden. Speichere und scanne erneut, bevor du den Nachweisen vertraust. Wiederöffnen des Arbeitsbereichs oder Aktualisieren alter Befunde lässt einen früheren Datenträgerscan keine ungespeicherten Änderungen beschreiben.

Prüfe den Quellhover

Fahre über den Quellbereich eines Befunds, um Kennung, Schweregrad, Scanner und Regel, Lebenszyklus und Gate-Wirkung, Wiederholungsinformationen und begrenzte Meldung zu lesen. Eine Warnung vor ungespeicherten Änderungen zeigt Abweichungen vom gescannten Datenträgerinhalt.

Der Quellhover bietet Open Finding in Web und Run Advisor für den genauen Befund, soweit erlaubt. Der Hover der Zeilenendannotation ist eine schreibgeschützte Zusammenfassung. Bei vielen überlappenden Berichten zeigt der Hover eine begrenzte Auswahl; nutze Baum oder Befundauswahl für den vorgesehenen Bericht.

Öffnen eines Hovers ruft nie ein Modell auf. Betrachte die Scannermeldung als Prüfungsbeginn und lies Quelle und Befunddetail vor einer Änderungsentscheidung.

Nutze Quick Fix als Aktionsmenü

Öffne VS Codes Quick-Fix-Menü an einer CodeSecurity-Diagnose. Seine fünf Aktionen betreffen den ausgewählten Befund:

Diese Aktionen schreiben Quellcode nicht automatisch um. Andere Erweiterungen können eigene Fix-, Explain- oder Rewrite-Einträge im selben Menü anbieten. Wähle den vorgesehenen Anbieter.

Teilen mehrere Befunde denselben Bereich, wähle den gewünschten Bericht. Veralteter oder unpassender Kontext wird abgelehnt statt auf einen anderen Bericht umgeleitet. Lebenszyklusoptionen sind Needs review, Non-blocking for gate, Accepted risk, Ignored, False positive, Fixed und Open. Die fünf ausnehmenden oder unterdrückenden Optionen brauchen eine Begründung bis 500 Zeichen.

Ein genauer Dateirescan fordert bei Bedarf zum Speichern und dann zur Zielbestätigung auf. Er scannt nicht den ganzen Arbeitsbereich und erweitert keine Autorisierungsgrenze. Löschen hat eine eigene Bestätigung. Siehe Befundlebenszyklus für Gate-Wirkung und den Unterschied zwischen Fixed und verifizierter Reparatur.

Wähle die Anzeige an Zeilenenden

Setze lomoCodeSecurity.inlineAnnotations nach Bedarf:

Compact ist Standard. Annotationen betreffen sichtbare Editorzeilen und fassen dieselben Befunde wie native Prüfflächen zusammen. +N reports verschmilzt keine Lebenszyklen oder Gate-Wirkungen. Wähle den einzelnen Befund vor einer Änderung.

Finde jeden Befehl

Die Erweiterung liefert 21 Befehle. VS Code setzt CodeSecurity vor ihre Titel in der Befehlspalette. Kontextbefehle benötigen eine gewählte Datei, einen Ordner oder Befund und fehlen bewusst in der allgemeinen Palette. Die beiden Arbeitsbereichsscan-Einträge teilen einen Titel, haben aber unterschiedliche Einstiege.

Einrichtung und Verbindung

Scannen und Aktualisieren

Explorer-Scanmenüs erfordern einen vertrauenswürdigen lokalen oder Remote-WSL-Quellkontext. Dateiaktionen erscheinen für unterstützte Code- und Konfigurationsnamen, darunter Python, JavaScript/TypeScript, Go, Rust, Java, Ruby, PHP, C#, Shell, YAML, JSON, TOML, Terraform, INI/CFG, Dockerfiles und unterstützte .env-Namen. Ihre Anzeige ersetzt keine Bereitschafts- oder Quellautorisierungsprüfung.

Befundaktionen

Git und Windows

Git-Menüs nutzen das ausgewählte Repository; Palettenbefehle verlangen eine Auswahl. Veraltete oder mehrdeutige Auswahlen werden abgelehnt. Native Windows-Quellen unter \\wsl.localhost müssen in Remote WSL geöffnet werden statt als lokale Laufwerksmomentaufnahme zu gelten. Die Erweiterung liefert keine Standardtastenkürzel. Nutze VS Code-Befehle und Menüs oder weise selbst einen unterstützten Befehl zu.

Prüfe beide Erweiterungseinstellungen

Einstellungen der lokalen Weboberfläche steuern andere Themen wie Scannervorbereitung, Projekt-Gates, Anbieter und vertrauenswürdige Clients. Sie sind keine weiteren VS Code-Konfigurationsschlüssel. Webeinstellungen erklärt gespeicherten Zustand und Entwürfe.

Arbeite neben anderen Erweiterungen

CodeSecurity hat eine eigene Diagnosesammlung und Editordekorationen. Wenn Zeilenenden zu voll werden, setze lomoCodeSecurity.inlineAnnotations auf off; Problems und der Findings-Baum bleiben verfügbar.

Das abgebildete macOS-Profil verwendet GitLens 19.0.1, ESLint 3.0.34, ErrorLens 3.29.0 und Prettier 12.4.0. Beachte bei jedem Eintrag den Anbieter: CodeSecurity meldet Sicherheitsbefunde, TypeScript meldet Typfehler und ESLint meldet Lint-Warnungen wie no-unused-vars. ErrorLens zeigt Diagnosen inline an; GitLens ergänzt Blame und CodeLens.

Das Verhalten kann bei anderen Versionen, Profilen oder Plattformen abweichen. Nenne bei einem Konflikt die genauen Editor- und Erweiterungsversionen sowie die auslösende Aktion. Der Release-Status beschreibt den unterstützten Umfang der Vorschau.

Folge Wiederherstellung bei Verbindungs- oder Quellfehlern. Push-Schutz erklärt Hostfreigabe, Hookanwendung und Historienprüfung hinter den Git-Befehlen.