Guide de la version préliminaire · 0.1.0

Utiliser CodeSecurity dans VS Code

Parcourez Findings, Problems, le survol, Quick Fix et les annotations, avec la référence complète des commandes et réglages de l’extension.

La référence de l’API est en anglais.

Connecter l’éditeur prévu

L’extension lomo-dev.code-security apporte les résultats locaux dans VS Code de bureau. Installer son VSIX ne démarre ni n’installe le backend. Suivez Démarrer pour les sources, puis installez le VSIX examiné ou compilé localement via Extensions: Install from VSIX… dans le profil prévu.

L’extension publique déclare VS Code ^1.135.0. Sa publication Marketplace reste en attente. VS Code uniquement dans le navigateur, les dépôts virtuels et les hôtes distants non pris en charge ne sont pas des contextes de sources acceptés. Pour Remote WSL, installez-la dans l’hôte d’extensions WSL sélectionné.

Exécutez CodeSecurity: Get Started pour les six étapes : backend, connexion et confiance, dépôts, préparation des analyseurs, constats et protection des push. Detailed instructions ouvre les notes fournies pour l’étape choisie. Les coches reflètent la progression observée ; ouvrir le guide n’autorise aucune source, ne lance aucune analyse et n’installe aucune protection.

Examinez Workspace Trust normalement. L’inscription IDE est disponible en Restricted Mode, mais les actions sur les sources et le tableau de bord intégré exigent la confiance. Celui-ci nécessite aussi un stockage navigateur persistant. CodeSecurity explique ces conditions sans les modifier à votre place.

Une installation vierge peut proposer le parcours du premier propriétaire. Les profils suivants affichent Approval needed : le propriétaire doit vérifier code, endpoint et profil correspondants dans Settings > IDE access. Le guide d’authentification distingue cette approbation de l’association du navigateur.

Choisir les dépôts sans déplacer le parent

Si un parent ouvert contient plusieurs dépôts, exécutez Choose repositories in this workspace…. Examinez la découverte bornée des enfants et sélectionnez ceux à gérer. Le dossier parent peut rester ouvert.

Sélection, autorisation hôte, enregistrement de projet et analyse sont distincts. Sélectionner un enfant ne donne pas accès au parent ni aux voisins. Examinez l’autorisation précise avant application. Retirer une sélection ne supprime pas son projet, ne révoque pas l’accès de l’analyseur et ne retire pas la protection des push.

Findings propose aussi Add Folder to Workspace… de VS Code. Cela modifie seulement l’appartenance à l’éditeur. Si un espace sans titre est créé, l’extension revalide les sélections conservées. Si la fenêtre initiale ne peut être identifiée, utilisez Restore selections ou choisissez les dépôts à nouveau. La restauration n’accorde aucun nouvel accès.

Un espace de confiance vide propose Get Started, Add Folder to Workspace… et Open Dashboard. Avec des dossiers ouverts, l’accueil ajoute Refresh Findings, la sélection des dépôts et Scan Workspace Folders…. Restricted Mode propose le guide et Manage Workspace Trust.

Analyser le périmètre voulu

Préparez les données requises dans Tools > Prepare all scanners avant une analyse complète. Les analyses ordinaires de l’extension demandent une couverture complète et n’invoquent pas l’IA. Elles lisent le disque enregistré : sauvegardez d’abord vos modifications.

Utilisez la commande workspace pour le dépôt choisi, le sélecteur de dossiers pour un lot examiné, ou les actions Explorer sur fichiers et dossiers pour un travail plus étroit. Ces résultats portent file only ou folder only. Ils remplacent la projection actuelle du dépôt dans l’éditeur sans établir la couverture de tout le dépôt ; les anciennes analyses restent dans l’historique web.

Un lot conserve projet, analyse, job et contrôle indépendants pour chaque racine. Annuler avant soumission ne démarre rien. Annuler le job courant laisse les racines suivantes non démarrées ; une issue incertaine arrête aussi les soumissions suivantes. Réconciliez le travail initial dans Jobs avant de recommencer.

Refresh Findings lit les résultats des racines sélectionnées. Il n’analyse pas les fichiers modifiés et n’enregistre pas de nouveaux projets. Les résultats indépendants restent visibles si une racine échoue. Le guide des analyses détaille préparation, couverture limitée et périmètre.

Parcourir l’arbre Findings

Ouvrez l’activité CodeSecurity et la vue Findings. Les résultats sont regroupés par dépôt, fichier, gravité et cycle de vie avant le constat individuel. Les lignes de dépôt montrent comptes et contexte du contrôle ; les périmètres fichier seul, dossier seul ou inconnu restent explicites.

Dépliez la branche voulue et sélectionnez un constat pour révéler les sources. La ligne possède aussi des boutons distincts pour éditeur et navigateur. Open Finding in Web ouvre le constat scan-local exact dans le tableau de bord associé, sans nouvelle analyse ni Advisor. Reveal Finding in Editor valide et ouvre l’emplacement en respectant le groupe d’éditeur.

Utilisez Open scan history pour retrouver l’analyse sélectionnée dans l’interface web. Les fichiers sont paginés par groupes bornés et les détails riches ont leurs propres limites. Si Open full file findings in local workbench est proposé, suivez-le plutôt que de supposer l’arbre chargé exhaustif.

Un résultat historique d’arbre commité reste lié à cet arbre. Il ne peut être révélé comme un fichier actuel du workspace. Des sources absentes, modifiées ou non autorisées doivent être réconciliées avant navigation.

Lire la barre d’état comme une observation actuelle

L’icône de bouclier présente connexion et contexte du résultat sélectionné. Selon l’état, elle affiche santé, contrôle, nombre de constats, éléments périmés ou progression de la projection Problems. Les comptes concernent le périmètre choisi ; un résultat file-only ne compte pas tous les problèmes du dépôt.

Avant la fin de la vérification de connexion, le statut ne prouve pas la santé du service. Pendant reconnexion ou indisponibilité, les résultats conservés peuvent être signalés comme mis en cache. Une inscription en attente affiche état d’approbation et code de vérification.

Cliquez pour l’action actuelle : récupération de connexion si indisponible, revue des accès si approbation requise, ou tableau de bord si connecté. Une reconnexion réussie ne donne pas accès aux sources et n’approuve pas la protection d’un dépôt.

Utiliser Problems pour la navigation native

Ouvrez Problems dans VS Code pour parcourir les diagnostics CodeSecurity avec ceux des autres extensions. Chaque diagnostic CodeSecurity indique son analyseur et son identifiant de constat dans l’analyse. Le sélectionner ouvre la plage source correspondante.

Problems utilise une collection dédiée à CodeSecurity. Chargement, indisponibilité ou limite de capacité sont distincts du nombre de constats. Une projection explicitement limitée ne représente pas tout le résultat : utilisez arbre et analyse Web exacte pour les autres constats.

Mettre les annotations sur Off laisse Problems actif. Après modification, renommage ou suppression des sources, les anciennes annotations deviennent périmées ou disparaissent. Enregistrez et réanalysez avant de leur faire confiance. Rouvrir le workspace ou actualiser les anciens constats ne fait pas décrire des changements non enregistrés à une ancienne analyse disque.

Examiner le survol des sources

Survolez la plage concernée pour lire identifiant, gravité, analyseur et règle, cycle de vie, effet sur le contrôle, répétitions et message borné. Un avertissement de modifications non enregistrées indique l’écart entre éditeur et contenu disque analysé.

Le survol propose Open Finding in Web et Run Advisor pour le constat exact lorsque permis. Le survol de l’annotation en fin de ligne est une synthèse en lecture seule. Si beaucoup de rapports se superposent, le survol en montre un ensemble borné ; utilisez arbre ou sélecteur pour choisir le bon.

Ouvrir un survol ne lance jamais un modèle. Le message d’analyseur commence la revue ; examinez sources et détail du constat avant de décider d’une modification.

Utiliser Quick Fix comme menu d’actions

Ouvrez Quick Fix sur un diagnostic CodeSecurity. Ses cinq actions concernent le constat sélectionné :

Ces actions ne réécrivent pas automatiquement les sources. D’autres extensions peuvent ajouter leurs propres Fix, Explain ou Rewrite au même menu ; choisissez le fournisseur prévu.

Si plusieurs constats partagent la plage, sélectionnez le rapport voulu. Un contexte périmé ou incohérent est refusé, pas redirigé vers un autre rapport. Les choix sont Needs review, Non-blocking for gate, Accepted risk, Ignored, False positive, Fixed et Open. Les cinq choix d’exemption ou suppression exigent une raison, jusqu’à 500 caractères.

La réanalyse du fichier exact demande d’enregistrer si nécessaire puis de confirmer la cible. Elle n’analyse pas tout le workspace et n’élargit pas son autorisation. La suppression a sa propre confirmation. Consultez le cycle de vie pour les effets sur le contrôle et la différence entre enregistrer Fixed et vérifier une réparation.

Choisir le contenu en fin de ligne

Réglez lomoCodeSecurity.inlineAnnotations selon vos besoins :

Compact est la valeur par défaut. Les annotations couvrent les lignes visibles et résument les mêmes constats que les surfaces natives. +N reports ne fusionne ni cycles de vie ni effets sur le contrôle. Choisissez le constat individuel avant modification.

Retrouver toutes les commandes

L’extension fournit 21 commandes. VS Code préfixe leur titre par CodeSecurity dans la palette. Les commandes contextuelles exigent fichier, dossier ou constat sélectionné et sont volontairement absentes de la palette générale. Deux entrées d’analyse du workspace partagent un titre mais desservent des points d’accès différents.

Installation et connexion

Analyse et actualisation

Les menus Explorer exigent un contexte local ou Remote WSL de confiance. Les actions de fichier apparaissent pour les noms de code et configuration pris en charge : Python, JavaScript/TypeScript, Go, Rust, Java, Ruby, PHP, C#, shell, YAML, JSON, TOML, Terraform, INI/CFG, Dockerfiles et noms .env acceptés. Leur présence ne remplace pas les vérifications de disponibilité ou d’autorisation.

Actions sur les constats

Git et Windows

Les menus Git utilisent le dépôt choisi ; les commandes de palette demandent une sélection. Une sélection périmée ou ambiguë est refusée. Des sources Windows natives sous \\wsl.localhost doivent être rouvertes dans Remote WSL et non traitées comme un instantané de disque local. Aucun raccourci clavier par défaut n’est fourni ; utilisez commandes et menus VS Code ou attribuez votre propre raccourci à une commande prise en charge.

Examiner les deux réglages de l’extension

Les réglages web concernent d’autres sujets : préparation, contrôles de projets, fournisseurs et clients de confiance. Ce ne sont pas des clés VS Code supplémentaires. Les réglages web expliquent état enregistré et brouillons.

Travailler avec d’autres extensions

CodeSecurity possède sa propre collection de diagnostics et ses décorations d’éditeur. Si les fins de ligne sont encombrées, réglez lomoCodeSecurity.inlineAnnotations sur off ; Problems et l’arborescence Findings restent disponibles.

Le profil macOS illustré utilise GitLens 19.0.1, ESLint 3.0.34, ErrorLens 3.29.0 et Prettier 12.4.0. Vérifiez le fournisseur de chaque entrée : CodeSecurity signale les constats de sécurité, TypeScript les erreurs de type et ESLint les avertissements de lint tels que no-unused-vars. ErrorLens affiche les diagnostics dans les lignes ; GitLens ajoute blame et CodeLens.

Le comportement peut varier selon les versions, les profils ou les plateformes. Pour signaler un conflit, indiquez les versions exactes de l’éditeur et des extensions ainsi que l’action qui l’a provoqué. L’état de version précise le périmètre pris en charge par la préversion.

Suivez la récupération pour les erreurs de connexion ou de sources. La protection des push détaille approbation hôte, application du hook et vérification d’historique derrière les commandes Git.