Guide de la version préliminaire · 0.1.0

Examiner les constats et enregistrer une décision

Suivez un rapport depuis son analyse et ses éléments jusqu’à une décision motivée, puis vérifiez le code modifié avec une nouvelle analyse.

La référence de l’API est en anglais.

Partir de l’analyse à examiner

Ouvrez Findings dans l’interface web. Choisissez projet et analyse, puis lisez sources, couverture, état et résumé du contrôle au-dessus de la liste. Une analyse de fichier répond à une question plus étroite qu’une analyse de dépôt. Une analyse d’arbre commité décrit cet arbre Git enregistré, même si la copie actuelle diffère.

Recherche et raccourcis de gravité réduisent la liste. Dépliez les filtres pour un analyseur ou un cycle de vie, puis Clear filters pour élargir la vue. Une liste filtrée vide ne signifie pas absence de constats. Vérifiez d’abord résumé et filtres actifs.

Sélectionnez une ligne pour ouvrir le détail. Sa case a une autre fonction : ajouter le constat à une action groupée. Vous pouvez examiner un rapport sans le sélectionner pour modification.

Lire le rapport avec ses éléments

Une revue relie six informations : identifiant, analyseur et règle, gravité, emplacement, message et éléments capturés. Lisez-les ensemble. Une règle signalant un appel d’API risqué peut exiger de rechercher si une entrée non fiable l’atteint. La gravité décrit le rapport ; elle ne remplace pas cette enquête.

Le panneau commence près de la plage concernée. More code, Compact code et Max height modifient la quantité visible. Ils ne récupèrent pas les sources omises. Copy evidence copie les éléments capturés et expurgés, y compris le texte hors de la zone visible ; examinez-le avant partage.

Panneau de constat avec éléments sources et actions de revue. — Examinez règle, emplacement et éléments avant d’enregistrer une décision.
Ouvrir l’image complète

Considérez la correction suggérée comme une proposition à examiner. Le produit ne l’applique pas automatiquement. Pour une autre lecture, utilisez Advisor sur le constat et confrontez sa réponse aux sources et à la règle.

Ouvrir les bonnes sources dans le bon éditeur

Pour un constat du workspace, utilisez Refresh IDEs, choisissez l’IDE associé prévu puis Open source in VS Code. Cela aide avec plusieurs fenêtres ou profils connectés. Choisir une cible n’associe pas un éditeur et ne lui accorde pas d’accès aux sources.

L’action vérifie constat, projet, contexte de sources et client cible. Fichier absent, sources modifiées, mauvais client ou contexte non pris en charge peuvent empêcher la navigation. Suivez la raison affichée plutôt que d’ouvrir un fichier au nom voisin en le prenant pour la même preuve.

Un constat historique d’arbre commité ne peut ouvrir le fichier actuel comme s’il était la version analysée. Examinez les éléments capturés et l’identité exacte de l’analyse. Utilisez Git pour inspecter le commit au besoin. Le guide VS Code distingue Reveal Finding in Editor et Open Finding in Web.

Séparer répétitions historiques et rapports au même endroit

Plusieurs analyseurs peuvent signaler la même plage. Other reports at this location in this view compare les rapports chargés à cet endroit exact. Chacun garde règle, gravité, cycle de vie et effet sur le contrôle. Le groupe décrit la vue chargée, pas une recherche exhaustive de tous les projets et analyses.

La répétition répond à une autre question : le même analyseur et la même empreinte sont-ils apparus dans ce projet au fil des analyses ? Les rapports identiques d’une analyse peuvent être canonicalisés ; les observations suivantes alimentent l’historique. Une répétition ne prouve pas que la nouvelle analyse a examiné des sources inchangées.

Dans VS Code, +N reports indique aussi plusieurs rapports au même endroit. Utilisez l’arbre ou le sélecteur pour choisir celui à modifier.

Choisir un état de cycle de vie motivé

Ouvrez Lifecycle dans le détail. Choisissez l’état correspondant à votre décision, puis examinez l’effet actualisé sur le contrôle et le résumé.

Décision et commande	Comptes ordinaires	Peut bloquer le contrôle	Raison requise
Ouvert : Reopen as blocking	Oui	Oui, selon la politique	Non
À examiner : Needs review	Oui	Oui, selon la politique	Non
Non bloquant : Non-blocking for gate	Oui	Non	Oui
Risque accepté : Accept risk	Oui	Non	Oui
Ignoré : Ignore / not counted	Supprimé des comptes	Non	Oui
Faux positif : False positive	Supprimé des comptes	Non	Oui
Corrigé : Mark fixed	Supprimé des comptes	Non	Oui

Les cinq choix d’exemption ou d’exclusion exigent une raison non vide, limitée à 500 caractères. Donnez assez de contexte pour la revue suivante : validation pertinente ou lien vers une décision interne appropriée à l’installation. Évitez secrets d’authentification et texte source inutile.

Commandes Lifecycle pour examiner un constat et saisir une raison. — Une décision consigne une revue. Enregistrez les sources modifiées et réanalysez pour vérifier la correction.
Ouvrir l’image complète

Fixed change la décision enregistrée. Il ne prouve ni modification du code ni efficacité de la correction. Enregistrez la réparation réelle et relancez une analyse pour de nouveaux éléments. Needs review ne suspend pas non plus temporairement le blocage. Lisez l’effet affiché après l’action.

Changer le cycle de vie ne comble pas une couverture manquante. Une analyse partielle, échouée ou annulée reste impropre à fournir des éléments complets acceptés, même si tous les constats visibles sont exemptés. Une décision peut aussi invalider une ancienne approbation d’historique sortant, qui doit correspondre au contexte actuel.

Revue / choix de décisionSchéma

Action	Raison	Effet sur la revue et le contrôle
`open`	Facultative	Retirer suppression et exemption ; inclure le constat dans la revue normale et la politique.
`needs_review`	Facultative	Garder le constat actif pour examen ; retirer suppression et exemption.
`gate_exempt`	Requise	Garder le constat visible et l’exclure des comptes bloquants.
`accepted_risk`	Requise	Enregistrer le risque accepté ; garder le constat visible et l’exempter des comptes bloquants.
`ignore`	Requise	Supprimer ce constat des comptes actifs du contrôle.
`false_positive`	Requise	Enregistrer la décision de faux positif et retirer ce constat des comptes actifs.
`fixed`	Requise	Enregistrer fixed et retirer le constat des comptes. Cela ne vérifie pas une modification du code.

Ce sont des actions explicites, pas une progression linéaire. Chaque changement lie la révision attendue. La suppression est distincte. Une nouvelle analyse des sources enregistrées apporte les éléments d’une réparation.

Appliquer volontairement les décisions groupées

Cochez les lignes prévues et vérifiez le nombre sélectionné avant les commandes groupées. La sélection peut couvrir plusieurs pages chargées. Une action accepte au plus 200 constats ; réduisez une sélection plus grande sans attendre un découpage en opérations cachées.

Exigez la même qualité de justification que pour un constat. Une décision commune convient si les rapports partagent l’explication ; sinon, examinez-les individuellement. La suppression est une action distincte confirmée qui enlève les constats sélectionnés, pas une étiquette les conservant pour plus tard.

Après modification, laissez détail et résumé s’actualiser. Si un autre client a changé la révision, rouvrez le détail actuel et prenez une nouvelle décision. Une ancienne sélection ne doit pas s’appliquer discrètement à un résultat plus récent.

Examiner le périmètre et les artefacts dérivés

Ouvrez Scan scope and derived artifacts pour examiner périmètre, refs, durée et sorties prises en charge. Un SBOM pris en charge peut proposer Open ou Download. Stdout, stderr et rapports natifs sont des entrées temporaires du traitement, pas une archive générale téléchargeable.

Éléments capturés et artefacts sont bornés et expurgés selon des motifs reconnus. Examinez-les avant partage. Déplier un panneau ou télécharger un SBOM ne récupère pas tous les fichiers sources de l’analyse.

Pour l’API, partez de l’analyse exacte et suivez ses pages bornées de constats. Gardez requête et révision identiques en suivant un curseur. Si la révision change ou le curseur est refusé, recommencez la lecture sans mélanger anciennes et nouvelles pages. Les opérations de constats, analyses et artefacts documentent ces contrats.

Poursuivez avec les décisions du contrôle si la revue change la possibilité de continuer, ou la protection des push pour vérifier l’historique commité à envoyer.