Guía de la versión preliminar · 0.1.0
Revisar hallazgos y registrar una decisión
Sigue un informe desde su análisis y evidencia hasta una decisión razonada, y verifica el código modificado con un análisis nuevo.
La referencia de la API está en inglés.
Empieza por el análisis que quieras revisar
Abre Findings en el entorno web. Elige proyecto y análisis, y lee código, cobertura, estado y resumen del control sobre la lista. Un análisis de un archivo responde a una pregunta más acotada que uno de repositorio. Un análisis de árbol confirmado describe ese árbol Git registrado aunque la copia actual sea distinta.
Usa búsqueda y accesos por gravedad para reducir la lista. Despliega filtros para elegir analizador o ciclo de vida y usa Clear filters para volver a una vista amplia. Una lista filtrada vacía no significa ausencia de hallazgos. Comprueba primero resumen y filtros activos.
Selecciona una fila para abrir el detalle. Su casilla tiene otra función: añadir el hallazgo a una acción masiva. Puedes inspeccionar un informe sin seleccionarlo para modificarlo.
Lee el informe junto a su evidencia
La revisión conecta seis elementos: identificador, analizador y regla, gravedad, ubicación, mensaje y evidencia capturada. Léelos juntos. Una regla que señala una API arriesgada puede exigir rastrear si recibe entradas no confiables. La gravedad describe el informe; no sustituye esa investigación.
El panel de evidencia empieza cerca del intervalo relevante. More code, Compact code y Max height cambian cuánto se ve. No recuperan contenido omitido del repositorio. Copy evidence copia la evidencia saneada capturada, incluido texto fuera de la parte visible; revísalo antes de compartirlo.
Inspecciona regla, ubicación y evidencia antes de decidir.
Abrir la imagen completaTrata la reparación sugerida como una propuesta que inspeccionar. El producto no la aplica automáticamente. Para otra lectura, usa Advisor sobre el hallazgo y compara su respuesta con código y regla.
Abre el código correcto en el editor correcto
Para un hallazgo del espacio de trabajo, usa Refresh IDEs, elige el IDE asociado previsto y pulsa Open source in VS Code. Es útil con varias ventanas o perfiles conectados. Elegir un destino no asocia un editor ni concede acceso al código.
La acción comprueba hallazgo, proyecto, contexto del código y cliente destino. Un archivo ausente, código cambiado, cliente incorrecto o contexto no admitido puede impedir la navegación. Sigue la razón indicada; no abras un archivo de nombre parecido suponiendo que es la misma evidencia.
Un hallazgo histórico de árbol confirmado no puede abrir el archivo actual como si fuera la versión analizada. Revisa la evidencia capturada y la identidad exacta del análisis. Usa Git para inspeccionar el commit si necesitas contexto. La guía de VS Code explica Reveal Finding in Editor y Open Finding in Web por separado.
Distingue repeticiones históricas e informes en una ubicación
Varios analizadores pueden informar del mismo intervalo. Other reports at this location in this view permite comparar informes cargados para esa ubicación exacta. Cada uno conserva regla, gravedad, ciclo de vida y efecto en el control. El grupo describe la vista cargada, no una búsqueda exhaustiva entre todos los proyectos y análisis.
La repetición responde a otra pregunta: si el mismo analizador y huella aparecieron en el proyecto en distintos análisis. Los informes idénticos dentro de un análisis pueden canonicalizarse; las observaciones posteriores alimentan el historial. Repetirse no prueba que el nuevo análisis inspeccionara código sin cambios.
En VS Code, +N reports indica igualmente varios informes en la ubicación. Usa el árbol o el selector para elegir cuál cambiar.
Elige un estado del ciclo de vida con una razón
Abre Lifecycle en el detalle. Elige el estado que describa tu decisión y revisa el efecto actualizado en el control y el resumen.
| Decisión y control | Recuentos ordinarios | Puede bloquear el control | Razón obligatoria |
|---|---|---|---|
| Open: Reopen as blocking | Sí | Sí, según la política | No |
| Needs review: Needs review | Sí | Sí, según la política | No |
| Non-blocking for gate: Non-blocking for gate | Sí | No | Sí |
| Accepted risk: Accept risk | Sí | No | Sí |
| Ignored: Ignore / not counted | Suprimido | No | Sí |
| False positive: False positive | Suprimido | No | Sí |
| Fixed: Mark fixed | Suprimido | No | Sí |
Las cinco opciones que eximen o suprimen requieren una razón no vacía de hasta 500 caracteres. Aporta contexto suficiente para la siguiente revisión: explica la validación pertinente o enlaza una decisión interna con información apropiada para la instalación. Evita credenciales o código innecesario.
La decisión registra una revisión. Guarda el código cambiado y analiza de nuevo para verificar la corrección.
Abrir la imagen completaFixed cambia la decisión registrada. No prueba que el código cambiara ni que funcione la reparación. Guarda la reparación real y ejecuta otro análisis para nueva evidencia. Needs review tampoco suspende temporalmente el bloqueo. Lee el efecto mostrado al terminar la acción.
Un cambio de ciclo de vida no cubre huecos de análisis. Un análisis parcial, fallido o cancelado no sirve como evidencia completa aprobada aunque se eximan todos los hallazgos visibles. Una decisión puede invalidar una aprobación anterior del historial saliente porque debe coincidir con el contexto de decisión actual.
| Acción | Razón | Efecto en revisión y control |
|---|---|---|
open | Opcional | Retira supresión y exención; incluye el hallazgo en revisión y evaluación normales. |
needs_review | Opcional | Mantiene el hallazgo activo; retira supresión y exención. |
gate_exempt | Obligatoria | Conserva el hallazgo visible y lo excluye del recuento bloqueante. |
accepted_risk | Obligatoria | Registra riesgo aceptado; mantiene el hallazgo visible y exento del recuento bloqueante. |
ignore | Obligatoria | Suprime el hallazgo de los recuentos activos del control. |
false_positive | Obligatoria | Registra falso positivo y suprime el hallazgo de los recuentos activos. |
fixed | Obligatoria | Registra la decisión de corregido y suprime el hallazgo. No verifica cambios del código. |
Aplica decisiones masivas deliberadamente
Marca las filas previstas y revisa el total seleccionado antes de usar controles masivos. La selección puede abarcar páginas cargadas. Una acción acepta hasta 200 hallazgos; reduce una selección mayor en vez de esperar operaciones divididas ocultas.
Exige la misma calidad de razón que para un hallazgo. Una decisión común sirve si los informes comparten explicación; si su contexto difiere, revísalos individualmente. La eliminación es una acción confirmada separada que borra los hallazgos seleccionados, no una etiqueta que los conserva para revisar después.
Tras modificar, deja que detalle y resumen se actualicen. Si otro cliente cambió la revisión, reabre el detalle actual y decide de nuevo. Una selección antigua no debe aplicarse silenciosamente a un resultado nuevo.
Inspecciona alcance y artefactos derivados
Abre Scan scope and derived artifacts para consultar alcance, refs, duración y salidas admitidas del análisis. Un SBOM admitido puede ofrecer Open o Download. Stdout, stderr e informes nativos son entradas temporales de procesamiento, no un archivo descargable general.
La evidencia y los artefactos están acotados y saneados mediante patrones reconocidos. Revísalos antes de compartirlos. Ampliar evidencia o descargar un SBOM no recupera todos los archivos de código del análisis.
En la API, empieza por el análisis exacto y recorre sus páginas acotadas de hallazgos. Mantén consulta y revisión al seguir un cursor. Si cambia la revisión o se rechaza el cursor, reinicia la lectura sin mezclar páginas viejas y nuevas. Las operaciones de hallazgos, análisis y artefactos documentan estos contratos.
Continúa con decisiones del control si la revisión cambia si puede continuar el trabajo, o con protección de push para comprobar el historial confirmado que enviarás.