Guide de la version préliminaire · 0.1.0

Première revue locale

Compilez le backend, connectez votre éditeur et accompagnez un premier dépôt de l’installation à l’examen d’un constat.

La référence de l’API est en anglais.

Choisir un premier dépôt

Commencez par un petit dépôt dont vous pouvez examiner le contenu sans risque. Un exemple volontairement vulnérable aide à découvrir les commandes de revue, mais analysez ses fichiers sans lancer son application ni ses commandes de déploiement. N’y placez aucune véritable information d’authentification.

CodeSecurity propose deux espaces de travail : l’interface web locale et une extension VS Code. Le backend exécute les analyseurs et conserve projets, jobs et constats. L’extension présente ces constats dans l’éditeur et ouvre l’interface associée pour les examiner en détail. Ce site documentaire est une référence statique distincte.

La version 0.1 est une préversion distribuée sous forme de sources. Consultez l’état des plateformes et de la version avant de choisir une installation. La publication sur Marketplace reste en attente ; l’extension s’installe à partir d’un VSIX examiné.

Démarrer le backend

Suivez le parcours d’installation et les instructions de plateforme figées. Sous macOS ou Linux natif, lancez cette commande depuis le répertoire des sources examinées du produit :

python3 scripts/start-lomo.py

Le lanceur compile et démarre le backend. Il préserve le profil VS Code existant et, par défaut, n’installe ni n’ouvre l’extension. La compilation initiale demande de l’espace sur l’hôte et dans le stockage Docker ; examinez les prérequis avant de commencer.

Windows dispose d’un parcours de démarrage depuis les sources distinct. Choisissez explicitement VS Code natif sous Windows ou Remote WSL. Une installation locale de l’extension ne l’installe pas aussi dans l’hôte d’extensions WSL.

Lors d’un retour, reprenez le même état et les mêmes options d’installation. Un nouveau répertoire d’état crée une autre installation ; il ne récupère pas l’installation existante.

Connecter le profil d’éditeur prévu

1. Ouvrez le dépôt dans le profil VS Code souhaité.
2. Suivez le parcours d’installation pour compiler ou obtenir le VSIX examiné, puis utilisez Extensions: Install from VSIX… dans ce profil.
3. Exécutez CodeSecurity: Get Started depuis la palette de commandes.
4. Examinez Workspace Trust pour l’espace de travail réel.
5. Suivez Connect and trust, ou lancez directement CodeSecurity: Connect / Review IDE Access.

Sur une installation vierge, le premier profil admissible peut revendiquer les droits de propriétaire à usage unique. Les profils suivants doivent faire approuver leur demande en attente exacte dans le navigateur d’un propriétaire existant. Le guide d’authentification explique ces deux parcours et l’appartenance distincte du navigateur.

Le panneau Get Started comporte six étapes : backend, connexion, dépôts, analyse, revue et protection. Ses marques de progression reflètent les observations de l’extension. Chaque action vérifie à nouveau l’état actuel ; une ancienne coche ne remplace pas la disponibilité présente.

Sélectionner et autoriser les sources

Pour un seul dépôt, gardez son dossier ouvert. Si plusieurs dépôts partagent un parent, utilisez CodeSecurity: Choose repositories in this workspace… et sélectionnez les enfants individuellement. Le dossier parent peut rester ouvert comme conteneur dans l’éditeur.

Appartenance à l’espace de travail, sélection des dépôts et accès de l’analyseur sont distincts :

• Add Folder to Workspace… modifie les dossiers ouverts dans VS Code.
• Choose repositories… enregistre les contextes enfants exacts à utiliser par l’extension.
• Authorize another source root, dans Projects, prépare l’action explicite de l’hôte qui donne aux analyseurs un accès en lecture seule.
• Add Project enregistre un répertoire à l’intérieur d’un périmètre autorisé.

Examinez la commande copiée et exécutez-la depuis la copie des sources du backend. Autorisez les racines précises des dépôts à analyser, et non leur vaste parent commun. Le guide des sources et des analyses décrit les vérifications qui suivent.

Préparer les analyseurs et lancer la première analyse

Ouvrez le tableau de bord et choisissez Tools > Prepare all scanners. Suivez le job de préparation existant jusqu’à ce que les analyseurs activés disposent de binaires, règles et données vérifiés. Un backend sain ou un téléchargement terminé ne suffit pas à établir leur disponibilité.

Dans Projects, sélectionnez le dépôt enregistré. La liste Scan setup vérifie les services essentiels, l’accès aux sources et les données des analyseurs. Une fois ces prérequis prêts, examinez le périmètre et lancez une analyse à couverture complète. VS Code propose aussi Scan Workspace with Lomo CodeSecurity et Scan Workspace Folders… pour un envoi explicite depuis l’éditeur.

Conservez les identités de l’analyse et du job. Ouvrez Jobs si vous quittez la page ou perdez la connexion ; rouvrir la page ne lance pas une autre analyse et la fermer n’annule pas le travail accepté.

Terminer la première revue

1. Ouvrez Findings pour l’analyse terminée.
2. Lisez sa couverture et l’état du contrôle avant d’interpréter le nombre de constats.
3. Sélectionnez un constat et examinez analyseur, règle, emplacement et éléments capturés.
4. Ouvrez l’emplacement validé dans l’IDE prévu et lisez le code environnant.
5. Enregistrez une décision motivée si nécessaire. Après modification du code, enregistrez les fichiers et relancez une analyse pour obtenir de nouveaux éléments.

Une analyse terminée peut échouer au contrôle de politique. Une liste vide peut aussi correspondre à une analyse incomplète. Les guides des constats et des contrôles expliquent ces différences.

Advisor, facultatif, apporte une seconde lecture d’un constat. Une fois la revue maîtrisée, appliquez la protection des push séparément au clone prévu. Analyser un espace de travail n’installe pas de hook Git.

Trouver la commande suivante

Le parcours de l’interface web situe Projects, Tools, Jobs et Settings. Le guide d’intégration VS Code couvre l’arborescence, Problems, le survol, Quick Fix, toutes les commandes et les deux réglages de l’extension. En cas de problème de connexion ou de travail interrompu, commencez par la récupération plutôt que de recréer l’état d’installation.