Guida alla versione preliminare · 0.1.0
Rivedere i rilievi e registrare una decisione
Segui un report dalla scansione e dalle evidenze fino a una decisione motivata, poi verifica il codice modificato con una nuova scansione.
Il riferimento API è in inglese.
Parti dalla scansione da rivedere
Apri Findings nell’interfaccia web. Scegli progetto e scansione, poi leggi sorgenti, copertura, stato e riepilogo del gate sopra la lista. Una scansione di file risponde a una domanda più ristretta di una scansione di repository. Un’analisi di albero committato descrive quell’albero Git registrato, anche se la copia attuale è diversa.
Ricerca e scorciatoie di gravità restringono la lista. Espandi i filtri per scanner o ciclo di vita e usa Clear filters per allargare la vista. Una lista filtrata vuota non significa assenza di rilievi. Controlla prima riepilogo e filtri attivi.
Seleziona una riga per aprire il dettaglio. La casella serve invece ad aggiungere il rilievo a un’azione in blocco. Puoi esaminare un report senza selezionarlo per una modifica.
Leggi il report accanto all’evidenza
La revisione collega sei informazioni: identificatore, scanner e regola, gravità, posizione, messaggio ed evidenza acquisita. Leggile insieme. Una regola che segnala una chiamata API rischiosa può richiedere di verificare se input non fidati la raggiungono. La gravità descrive il report; non sostituisce l’indagine.
Il pannello parte vicino all’intervallo pertinente. More code, Compact code e Max height cambiano la quantità visibile. Non recuperano sorgenti omessi. Copy evidence copia l’evidenza acquisita e sanitizzata, compreso testo fuori dalla parte visibile; esaminalo prima di condividerlo.
Esamina regola, posizione ed evidenza prima di decidere.
Apri l’immagine completaTratta la correzione suggerita come una proposta da esaminare. Il prodotto non la applica automaticamente. Per un’altra lettura, usa Advisor sul rilievo e confronta la risposta con sorgenti e regola.
Apri i sorgenti corretti nell’editor corretto
Per un rilievo del workspace, usa Refresh IDEs, scegli l’IDE associato previsto e poi Open source in VS Code. È utile con più finestre o profili connessi. Scegliere un destinatario non associa un editor e non concede accesso ai sorgenti.
L’azione verifica rilievo, progetto, contesto dei sorgenti e client destinatario. File mancante, sorgenti cambiati, client errato o contesto non supportato possono impedire la navigazione. Segui il motivo mostrato invece di aprire un file dal nome simile presumendo la stessa evidenza.
Un rilievo storico di albero committato non può aprire il file corrente come se fosse la versione analizzata. Controlla evidenza acquisita e identità esatta della scansione. Usa Git per esaminare il commit se serve contesto. La guida VS Code distingue Reveal Finding in Editor e Open Finding in Web.
Distingui ripetizioni storiche e report nella stessa posizione
Più scanner possono segnalare lo stesso intervallo. Other reports at this location in this view confronta i report caricati per quella posizione esatta. Ognuno conserva regola, gravità, ciclo di vita ed effetto sul gate. Il gruppo descrive la vista caricata, non una ricerca esaustiva di tutti i progetti e scansioni.
La ripetizione risponde a un’altra domanda: lo stesso scanner e fingerprint sono apparsi nel progetto in più scansioni? Report identici nella stessa scansione possono essere canonicalizzati; le osservazioni successive alimentano la cronologia. Una ripetizione non prova che la nuova scansione abbia esaminato sorgenti invariati.
In VS Code, +N reports indica analogamente più report nella posizione. Usa l’albero o il selettore per scegliere quello da cambiare.
Scegli uno stato del ciclo di vita con un motivo
Apri Lifecycle nel dettaglio. Scegli lo stato che descrive la decisione, poi controlla effetto aggiornato sul gate e riepilogo.
| Decisione e controllo | Conteggi ordinari | Può bloccare il gate | Motivo obbligatorio |
|---|---|---|---|
| Open: Reopen as blocking | Sì | Sì, secondo la policy | No |
| Needs review: Needs review | Sì | Sì, secondo la policy | No |
| Non-blocking for gate: Non-blocking for gate | Sì | No | Sì |
| Accepted risk: Accept risk | Sì | No | Sì |
| Ignored: Ignore / not counted | Soppresso | No | Sì |
| False positive: False positive | Soppresso | No | Sì |
| Fixed: Mark fixed | Soppresso | No | Sì |
Le cinque scelte di esenzione o soppressione richiedono un motivo non vuoto, fino a 500 caratteri. Fornisci contesto sufficiente alla revisione successiva: validazione pertinente o link a una decisione interna adatta all’installazione. Evita credenziali e sorgenti non necessari.
La decisione registra una revisione. Salva i sorgenti cambiati e analizza ancora per verificare la correzione.
Apri l’immagine completaFixed cambia la decisione registrata. Non prova che il codice sia cambiato o che la riparazione funzioni. Salva la riparazione effettiva e avvia una nuova scansione per nuove evidenze. Anche Needs review non sospende temporaneamente il blocco. Leggi l’effetto mostrato al termine.
Una modifica del ciclo di vita non colma lacune di copertura. Una scansione parziale, fallita o annullata resta inadatta come evidenza completa approvata anche esentando tutti i rilievi visibili. Una decisione può invalidare una precedente approvazione della cronologia in uscita, che deve corrispondere al contesto corrente.
| Azione | Motivo | Effetto su revisione e gate |
|---|---|---|
open | Facoltativo | Rimuove soppressione ed esenzione; include il rilievo nella revisione e valutazione normali. |
needs_review | Facoltativo | Mantiene il rilievo attivo; rimuove soppressione ed esenzione. |
gate_exempt | Obbligatorio | Mantiene il rilievo visibile e lo esclude dal conteggio bloccante. |
accepted_risk | Obbligatorio | Registra rischio accettato; mantiene il rilievo visibile ed esente dal conteggio bloccante. |
ignore | Obbligatorio | Sopprime il rilievo dai conteggi attivi del gate. |
false_positive | Obbligatorio | Registra il falso positivo e sopprime il rilievo dai conteggi attivi. |
fixed | Obbligatorio | Registra la decisione di corretto e sopprime il rilievo. Non verifica modifiche ai sorgenti. |
Applica deliberatamente le decisioni in blocco
Spunta le righe previste e controlla il totale prima dei controlli in blocco. La selezione può coprire pagine caricate diverse. Un’azione accetta al massimo 200 rilievi; riduci selezioni maggiori senza aspettarti divisioni in operazioni nascoste.
Usa lo stesso standard di motivazione di un rilievo singolo. Una decisione comune serve se i report condividono la spiegazione; se il contesto differisce, esaminali singolarmente. L’eliminazione è un’azione separata confermata che rimuove i rilievi, non un’etichetta che li conserva per una revisione futura.
Dopo ogni modifica, attendi l’aggiornamento di dettaglio e riepilogo. Se un altro client ha cambiato la revisione, riapri il dettaglio corrente e decidi nuovamente. Una vecchia selezione non deve applicarsi silenziosamente a un risultato più recente.
Esamina ambito e artefatti derivati
Apri Scan scope and derived artifacts per vedere ambito, ref, durata e output supportati. Un SBOM supportato può offrire Open o Download. Stdout, stderr e report nativi sono input temporanei di elaborazione, non un archivio generico scaricabile.
Evidenze e artefatti sono limitati e sanitizzati con pattern riconosciuti. Esaminali prima di condividerli. Espandere un pannello o scaricare un SBOM non recupera tutti i file sorgente della scansione.
Per l’API, parti dalla scansione esatta e segui le pagine limitate dei rilievi. Mantieni query e revisione invariate seguendo un cursore. Se la revisione cambia o il cursore è rifiutato, ricomincia senza unire pagine vecchie e nuove. Le operazioni su rilievi, scansioni e artefatti documentano i contratti.
Continua con le decisioni del gate se la revisione cambia la possibilità di procedere, o con la protezione dei push per verificare la cronologia committata da inviare.