Guida alla versione preliminare · 0.1.0

Usare CodeSecurity dentro VS Code

Esplora Findings, Problems, hover, Quick Fix e annotazioni inline, con un riferimento completo di tutti i comandi e le impostazioni.

Il riferimento API è in inglese.

Collega l’editor che intendi usare

L’estensione lomo-dev.code-security porta risultati locali in VS Code desktop. Installare il VSIX non installa o avvia il backend. Segui primi passi per l’avvio dai sorgenti e installa il VSIX verificato o compilato localmente con Extensions: Install from VSIX… nel profilo previsto.

L’estensione pubblica dichiara VS Code ^1.135.0. Marketplace è in attesa. VS Code solo browser, repository virtuali e host remoti non supportati non sono contesti sorgente validi. Per Remote WSL, installala nell’host estensioni WSL scelto.

Esegui CodeSecurity: Get Started per sei passi: avvio backend, connessione e fiducia, repository, preparazione, rilievi e protezione push. Detailed instructions apre le note incluse del passo. Le spunte mostrano progresso osservato; aprire la guida non autorizza sorgenti, analizza o installa protezione.

Esamina Workspace Trust normalmente. L’iscrizione IDE è disponibile in Restricted Mode; operazioni sui sorgenti e dashboard integrata richiedono fiducia. La dashboard richiede anche storage persistente del browser. CodeSecurity spiega le condizioni senza cambiarle al tuo posto.

Una nuova installazione può offrire il primo proprietario. I profili successivi mostrano Approval needed e richiedono che il proprietario confronti codice, endpoint e profilo in Settings > IDE access. La guida all’autenticazione separa approvazione e associazione browser.

Scegli repository senza spostare la cartella padre

Se un genitore aperto contiene più repository, esegui Choose repositories in this workspace…. Esamina la scoperta limitata dei figli e scegli quelli da gestire. Puoi mantenere aperto il genitore.

Selezione, autorizzazione host, registrazione e scansione sono separate. Scegliere un figlio non concede accesso a genitore o fratelli. Esamina l’autorizzazione ristretta prima di applicarla. Rimuovere una selezione non elimina il progetto, revoca l’accesso scanner o rimuove la protezione.

Findings offre anche Add Folder to Workspace… di VS Code. Cambia solo l’appartenenza all’editor. Se crea un workspace senza titolo, l’estensione rivalida le selezioni conservate; se la finestra originale non è identificabile, usa Restore selections o seleziona ancora. Ripristinare non concede nuovo accesso.

Un workspace fidato vuoto offre Get Started, Add Folder to Workspace… e Open Dashboard. Con cartelle aperte aggiunge Refresh Findings, selezione repository e Scan Workspace Folders…. Restricted Mode offre guida e Manage Workspace Trust.

Analizza l’ambito previsto

Prepara i dati in Tools > Prepare all scanners prima della scansione completa. Le scansioni normali dell’estensione richiedono copertura completa senza IA. Leggono il disco salvato: salva prima le modifiche.

Usa il comando workspace per il repository scelto, il selettore cartelle per un lotto esaminato o le azioni Explorer per ambiti ristretti. Scansioni di file e cartelle sono etichettate file only o folder only. Sostituiscono la proiezione corrente del repository nell’editor senza stabilire copertura completa; quelle precedenti rimangono nella cronologia web.

Ogni radice del lotto mantiene progetto, scansione, job e gate indipendenti. Annullare prima dell’invio non avvia nulla. Annullare il job corrente lascia non avviate le radici successive; anche un esito incerto ferma altri invii. Usa Jobs per riconciliare l’originale prima di un altro lotto.

Refresh Findings legge risultati delle radici scelte. Non analizza file cambiati o registra progetti. Gli esiti indipendenti restano visibili se una radice fallisce. La guida alle scansioni dettaglia preparazione, copertura limitata e ambito.

Naviga nell’albero Findings

Apri CodeSecurity nella barra attività e la vista Findings. I risultati sono raggruppati per repository, file, gravità e ciclo di vita prima del singolo rilievo. Le righe repository mostrano conteggi e gate; ambiti di file, cartella o sconosciuti restano espliciti.

Espandi il ramo e seleziona un rilievo per mostrare i sorgenti. La riga offre pulsanti separati per editor e browser. Open Finding in Web apre il rilievo esatto della scansione nella dashboard associata; non avvia scansioni o Advisor. Reveal Finding in Editor valida e apre la posizione rispettando il gruppo editor.

Open scan history raggiunge la scansione scelta nella web UI. I file sono paginati in gruppi limitati e i dettagli ricchi hanno limiti propri. Quando compare Open full file findings in local workbench, usalo per la vista completa; non presumere che l’albero caricato sia esaustivo.

Un risultato storico resta legato al proprio albero committato. Non può apparire come file corrente del workspace. Sorgenti mancanti, cambiati o non autorizzati richiedono riconciliazione prima di navigare.

Leggi la barra di stato come osservazione corrente

Lo scudo riporta connessione e contesto del risultato selezionato. Secondo lo stato mostra salute, gate, conteggi, evidenze obsolete o avanzamento della proiezione Problems. I conteggi descrivono l’ambito scelto; un risultato di file non conta tutti i problemi del repository.

Prima del completamento della verifica di connessione, lo stato non prova la salute del servizio. Durante riconnessione o indisponibilità i risultati conservati possono apparire in cache. L’iscrizione pendente mostra stato d’approvazione e codice di verifica.

Fai clic sullo stato per l’azione corrente: recupero connessione, revisione accesso o dashboard connessa. Una riconnessione riuscita non concede sorgenti o approva protezione del repository.

Usa Problems per la navigazione diagnostica nativa

Apri Problems di VS Code per navigare i diagnostici CodeSecurity accanto a quelli di altre estensioni. Ognuno porta scanner d’origine e identificatore del rilievo locale alla scansione. Selezionarlo apre l’intervallo corrispondente.

Problems usa una raccolta dedicata. Stato di caricamento, indisponibilità o capacità limitata è distinto dal conteggio dei rilievi. Una proiezione esplicitamente limitata non è il risultato completo; usa albero e scansione web esatta per i rimanenti.

Mettere annotazioni inline Off mantiene Problems. Dopo modifica, rinomina o eliminazione, le precedenti possono diventare obsolete o essere rimosse. Salva e analizza prima di affidarti all’evidenza. Riaprire il workspace o ricaricare vecchi rilievi non fa descrivere modifiche non salvate a una scansione precedente del disco.

Esamina l’hover sui sorgenti

Passa sul range per leggere identificatore, gravità, scanner, regola, ciclo di vita, effetto sul gate, ripetizioni e messaggio limitato. Un avviso di modifiche non salvate indica differenze dal disco analizzato.

L’hover sorgente offre Open Finding in Web e Run Advisor per il rilievo esatto quando permesso. L’hover dell’annotazione a fine riga è un riepilogo in sola lettura. Se molti report si sovrappongono, viene mostrato un insieme limitato; usa albero o selettore per quello previsto.

Aprire l’hover non chiama mai un modello. Considera il messaggio l’inizio della revisione ed esamina sorgenti e dettaglio prima di decidere modifiche.

Usa Quick Fix come menu di azioni

Apri Quick Fix su un diagnostico CodeSecurity. Le cinque azioni operano sul rilievo scelto:

Le azioni non riscrivono automaticamente i sorgenti. Altre estensioni possono aggiungere Fix, Explain o Rewrite allo stesso menu; scegli il provider previsto.

Se più rilievi condividono il range, scegli il report corretto. Un contesto obsoleto o discordante è rifiutato invece di essere reindirizzato. Le opzioni includono Needs review, Non-blocking for gate, Accepted risk, Ignored, False positive, Fixed e Open. Le cinque che esentano o sopprimono richiedono un motivo fino a 500 caratteri.

La scansione esatta chiede di salvare quando necessario e confermare il target. Non analizza tutto il workspace o amplia l’autorità. L’eliminazione richiede conferma propria. Consulta il ciclo di vita per effetti e distinzione tra registrare Fixed e verificare una riparazione.

Scegli quanto appare a fine riga

Imposta lomoCodeSecurity.inlineAnnotations secondo l’editor:

Compact è il default. Le annotazioni coprono righe visibili e riassumono gli stessi rilievi delle superfici native. +N reports non unisce decisioni o effetti sul gate. Seleziona il singolo rilievo prima di modificarlo.

Trova tutti i comandi

L’estensione offre 21 comandi. VS Code antepone CodeSecurity nella palette. I contestuali richiedono file, cartella o rilievo selezionati e non compaiono intenzionalmente nella palette generale. Le due scansioni workspace condividono il titolo ma hanno ingressi distinti.

Configurazione e connessione

Scansione e aggiornamento

I menu Explorer richiedono contesto sorgente locale o Remote WSL fidato. Le azioni file appaiono per nomi supportati di codice e configurazione: Python, JavaScript/TypeScript, Go, Rust, Java, Ruby, PHP, C#, shell, YAML, JSON, TOML, Terraform, INI/CFG, Dockerfile e nomi .env supportati. Non sostituiscono controlli di disponibilità o autorizzazione.

Azioni sui rilievi

Git e Windows

I menu Git usano il repository selezionato; la palette chiede di sceglierlo. Selezioni obsolete o ambigue sono rifiutate. I sorgenti Windows nativi \\wsl.localhost vanno riaperti in Remote WSL, non trattati come snapshot di unità locale nativa. L’estensione non definisce scorciatoie predefinite; usa comandi e menu VS Code o assegna una tua combinazione a un comando supportato.

Rivedi entrambe le impostazioni

Settings locale controlla altro: preparazione, gate dei progetti, provider e client fidati. Non sono altre chiavi VS Code. Settings del workbench spiega stato salvato e bozze.

Lavora insieme ad altre estensioni

CodeSecurity dispone di una propria raccolta diagnostica e di decorazioni dell’editor. Se le estremità delle righe diventano affollate, imposta lomoCodeSecurity.inlineAnnotations su off; Problems e l’albero Findings restano disponibili.

Il profilo macOS illustrato usa GitLens 19.0.1, ESLint 3.0.34, ErrorLens 3.29.0 e Prettier 12.4.0. Controlla il provider di ogni voce: CodeSecurity segnala rilievi di sicurezza, TypeScript errori di tipo ed ESLint avvisi di lint come no-unused-vars. ErrorLens mostra i diagnostici inline; GitLens aggiunge blame e CodeLens.

Il comportamento può variare con altre versioni, profili o piattaforme. Quando segnali un conflitto, includi le versioni esatte dell’editor e delle estensioni e l’azione che lo ha causato. Lo stato di rilascio descrive l’ambito supportato dell’anteprima.

Per errori di connessione o sorgenti, segui il recupero. Per approvazione host, applicazione hook e controlli della cronologia dietro i comandi Git, segui la protezione dei push.