Guía de la versión preliminar · 0.1.0

Empezar desde el código fuente

Compila el backend, conecta el editor y recorre el camino de un primer repositorio desde la instalación hasta un hallazgo revisado.

La referencia de la API está en inglés.

Elige un primer repositorio

Empieza con un repositorio pequeño cuyo contenido puedas inspeccionar con seguridad. Un ejemplo deliberadamente vulnerable ayuda a conocer los controles de revisión, pero analiza sus archivos sin ejecutar su aplicación ni sus comandos de despliegue. No incluyas credenciales reales.

CodeSecurity tiene dos superficies de trabajo: el entorno web local y una extensión de VS Code. El backend ejecuta analizadores y conserva proyectos, trabajos y hallazgos. La extensión lleva esos hallazgos al editor y abre el entorno asociado para revisarlos en detalle. Este sitio de documentación es una referencia estática independiente.

La versión 0.1 es una versión preliminar distribuida como código fuente. Consulta el estado de plataformas y versiones antes de elegir una instalación. La publicación en Marketplace sigue pendiente; la extensión se instala desde un VSIX revisado.

Inicia el backend

Sigue el recorrido de instalación y las instrucciones de plataforma fijadas. En macOS o Linux nativo, ejecuta desde el directorio del código revisado del producto:

python3 scripts/start-lomo.py

El lanzador compila e inicia el backend. Conserva el perfil existente de VS Code y, por defecto, no instala ni abre la extensión. La primera compilación necesita espacio tanto en el host como en el almacenamiento de Docker; revisa los requisitos antes de iniciarla.

Windows tiene una ruta de inicio desde código independiente. Elige expresamente VS Code nativo de Windows o Remote WSL. Instalar la extensión localmente no la instala también en el host de extensiones de WSL.

Al volver, repite el inicio con el mismo estado y las mismas opciones de instalación. Un nuevo directorio de estado crea otra instalación; no recupera la existente.

Conecta el perfil de editor previsto

1. Abre el repositorio en el perfil de VS Code que quieras usar.
2. Sigue el recorrido de instalación para compilar u obtener el VSIX revisado y usa Extensions: Install from VSIX… en ese perfil.
3. Ejecuta CodeSecurity: Get Started desde la paleta de comandos.
4. Revisa Workspace Trust de VS Code para el espacio de trabajo real.
5. Sigue Connect and trust o ejecuta directamente CodeSecurity: Connect / Review IDE Access.

En una instalación nueva, el primer perfil apto puede reclamar los derechos de propietario de un solo uso. Los perfiles posteriores necesitan que un propietario apruebe su solicitud pendiente exacta desde su navegador. La guía de autenticación explica ambas rutas y la pertenencia independiente del navegador.

El panel Get Started de seis pasos cubre backend, conexión, repositorios, análisis, revisión y protección. Sus marcas de progreso reflejan lo observado por la extensión. Cada acción vuelve a comprobar el estado actual; una marca anterior no sustituye la preparación actual.

Selecciona y autoriza el código

Para un único repositorio, mantén abierta esa carpeta. Si hay varios bajo un directorio padre, usa CodeSecurity: Choose repositories in this workspace… y selecciona los hijos individuales. El padre puede seguir abierto como contenedor del editor.

La pertenencia al espacio de trabajo, la selección de repositorios y el acceso del analizador son independientes:

• Add Folder to Workspace… cambia lo que VS Code tiene abierto.
• Choose repositories… registra los contextos hijos exactos que debe usar la extensión.
• Authorize another source root, en Projects, prepara la acción explícita del host que concede acceso de solo lectura a los analizadores.
• Add Project registra un directorio dentro de un límite autorizado.

Revisa el comando copiado y ejecútalo desde la copia del código del backend. Autoriza las raíces concretas de los repositorios previstos, no su amplio padre común. La guía de código y análisis explica las comprobaciones resultantes.

Prepara los analizadores y ejecuta el primer análisis

Abre el panel y elige Tools > Prepare all scanners. Sigue el trabajo de preparación existente hasta que los analizadores habilitados tengan binarios, reglas y datos verificados. Un backend sano o una descarga terminada no bastan para establecer su preparación.

En Projects, selecciona el repositorio registrado. La lista Scan setup comprueba servicios básicos, acceso al código y datos de los analizadores. Cuando estén preparados, revisa el alcance e inicia un análisis de cobertura completa. VS Code también ofrece Scan Workspace with Lomo CodeSecurity y Scan Workspace Folders… para envíos explícitos desde el editor.

Conserva las identidades del análisis y del trabajo. Abre Jobs si sales de la página o pierdes la conexión; reabrirla no inicia otro análisis y cerrarla no cancela el trabajo aceptado.

Completa la primera revisión

1. Abre Findings para el análisis terminado.
2. Lee su cobertura y el estado del control antes de interpretar el número de hallazgos.
3. Selecciona un hallazgo e inspecciona analizador, regla, ubicación y evidencia capturada.
4. Abre la ubicación validada en el IDE previsto y lee el código circundante.
5. Registra una decisión razonada cuando corresponda. Tras cambiar el código, guarda y ejecuta otro análisis para obtener nueva evidencia.

Un análisis terminado puede fallar su control de política. Una lista vacía también puede corresponder a un análisis incompleto. Las guías de hallazgos y controles distinguen estos resultados.

Advisor, opcional, aporta una segunda lectura del hallazgo. Cuando conozcas la revisión, aplica la protección de push por separado al clon previsto. Analizar un espacio de trabajo no instala un hook de Git.

Encuentra el siguiente control

El recorrido del entorno web sitúa Projects, Tools, Jobs y Settings. La guía de integración con VS Code cubre el árbol, Problems, la información al pasar el puntero, Quick Fix, todos los comandos y ambos ajustes de la extensión. Ante problemas de conexión o trabajo interrumpido, empieza por recuperación en vez de recrear el estado de instalación.