Resolver alertas de varredura de código

Corrigindo alertas com Copilot

Você pode atribuir um code scanning alerta para Copilot que ele corrija o alerta para você. A atribuição do alerta inicia uma sessão de agente: agente de nuvem Copilot explora sua base de código, gera uma correção, valida e abre uma solicitação de pull.

Cada sessão de autofixo agente é cobrada como uma agente de nuvem Copilot sessão e consome AI credits. Consulte Sobre o agente de nuvem do GitHub Copilot.

Para atribuir um alerta individual a Copilot:

1. Em GitHub, acesse a página principal do repositório.
2. No nome do repositório, clique na Security and quality guia. Se você não conseguir ver a guia " Security and quality", selecione o menu suspenso e clique em Security and quality.
3. Na barra lateral esquerda, clique em Code scanning.
4. Clique no nome de um alerta.
5. Na parte superior da página, clique em Atribuir a Copilot.

Você também pode atribuir alertas a Copilot em lote:

• No backlog de alertas code scanning ou em uma campanha de segurança, selecione entre 1 e 25 alertas e atribua-os a Copilot, que trabalha para resolver os alertas selecionados em um único pull request. Consulte Como corrigir alertas em uma campanha de segurança.
• Usando a API REST, definindo o destinatário do alerta como copilot-swe-agent[bot]. Consulte Pontos de extremidade da API REST para varredura de código.

Normalmente, dentro de alguns minutos, Copilot abre uma solicitação de pull de rascunho criada por Copilot, com um resumo da correção e das etapas de validação executadas. Revise o log da sessão do agente para obter detalhes e comente no pull request, mencionando Copilot, para solicitar uma nova iteração.

agente de nuvem Copilot valida as correções na medida do possível. Se ele não puder validar uma correção ou achar que o alerta pode ser um falso positivo, ele diz isso na solicitação de pull.

Gerando uma correção sugerida

Se agente de nuvem Copilot não estiver disponível em seu repositório, você ainda poderá usar Correção Automática do GitHub Copilot para gerar uma correção sugerida de uma etapa para o alerta.

1. Em GitHub, acesse a página principal do repositório.
2. No nome do repositório, clique na Security and quality guia. Se você não conseguir ver a guia " Security and quality", selecione o menu suspenso e clique em Security and quality.
3. Na barra lateral esquerda, clique em Code scanning.
4. Clique no nome de um alerta.
5. Se Autofixo do Copilot puder sugerir uma correção, na parte superior da página, clique em Gerar correção.
6. Depois que a correção sugerida for gerada, na parte inferior da página, você poderá clicar em Criar PR com correção para gerar automaticamente uma solicitação de pull com a correção sugerida. Uma nova ramificação é criada a partir da ramificação padrão, a correção gerada é confirmada e uma solicitação de pull em versão preliminar é criada. Você pode testar e editar a correção sugerida da mesma forma que faria com qualquer outra correção.

Você também pode usar a API Autofix para pontos de extremidade de alertas históricos para gerar, obter e confirmar correções sugeridas.

• Criar uma correção automática para um alerta de varredura de código
• Obter o status de uma correção automática para um alerta de varredura de código
• Confirmar uma correção automática para um alerta da varredura de código

Autofixo do Copilot para code scanning alertas não será capaz de gerar uma correção para cada alerta em cada situação. O recurso opera com base no melhor esforço e não tem a garantia de ter êxito em 100% das vezes. Para obter informações sobre as limitações das correções geradas automaticamente, confira Limitações das sugestões.

Corrigindo um alerta manualmente

Qualquer pessoa com permissão de gravação para um repositório pode corrigir um alerta, fazendo o commit de uma correção do código. Se o repositório tiver code scanning agendado para ser executado em solicitações de pull, é melhor gerar uma solicitação de pull com a correção. Isso disparará code scanning a análise das alterações e testará se a correção não apresenta novos problemas. Consulte Alertas de varredura de código de triagem em pull requests.

Para monitorar o trabalho de correção no fluxo de trabalho da sua equipe sem precisar sair de GitHub, você pode vincular alertas a problemas. Consulte Vinculando alertas de verificação de código a problemas de GitHub.

Você pode usar a pesquisa de texto livre ou os filtros para ver um subconjunto de alertas e depois marcar todos os alertas correspondentes como fechados.

Alertas podem ser corrigidos em um branch, mas não em outro. Você pode usar o filtro "branch", no resumo dos alertas, para verificar se um alerta é corrigido em um branch específico.

Observe que, se você tiver filtrado os alertas em um branch não padrão, mas os mesmos alertas existirem no branch padrão, a página de qualquer alerta especificado ainda refletirá apenas o status do alerta no branch padrão, mesmo que esse status entre em conflito com o status em um branch não padrão. Por exemplo, um alerta exibido na lista "Abrir" no resumo dos alertas de branch-x pode mostrar o status "Corrigido" na página do alerta, caso o alerta já esteja corrigido no branch padrão. Veja o status do alerta para o branch na seção Branches afetados no lado direito da página de alerta.

Ignorar alertas

Há duas formas de fechar um alerta. Você pode corrigir o problema no código ou pode ignorar o alerta.

Ignorar um alerta é uma maneira de fechar um alerta que você não acha que precisa ser corrigido. Por exemplo, um erro no código que é usado apenas para testes ou quando o esforço de corrigir o erro é maior do que o benefício potencial de melhorar o código. Você pode ignorar os alertas de code scanning anotações no código ou da lista de resumo dentro da guia Security and quality.

Ao descartar um alerta:

• É rejeitado em todos os ramos.
• O alerta é removido do número de alertas atuais do projeto.
• O alerta é movido para a lista "Fechado" no resumo dos alertas, onde você pode reabri-lo, se necessário.
• O motivo pelo qual você fechou o alerta é registrado.
• Ou você pode fazer um comentário para registrar o contexto de um alerta ignorado.
• Na próxima execução code scanning , o mesmo código não gerará um alerta.

Para ignorar alertas:

1. Em GitHub, acesse a página principal do repositório.
2. No nome do repositório, clique na Security and quality guia. Se você não conseguir ver a guia " Security and quality", selecione o menu suspenso e clique em Security and quality.
3. Na barra lateral esquerda, clique em Code scanning.
4. Se você deseja ignorar um alerta, é importante explorar primeiro o alerta para que você possa escolher o motivo correto para ignorá-lo. Clique no alerta que você deseja explorar.
5. Revise o alerta, clique em Ignorar alerta e escolha ou digite um motivo para fechá-lo.

É importante escolher o motivo apropriado no menu suspenso, pois isso pode afetar se uma consulta continua sendo incluída em análise futura. Opcionalmente, você pode fazer um comentário para registrar o contexto de um alerta ignorado. O comentário sobre o alerta ignorado é adicionado à linha do tempo do alerta e pode ser usado como justificativa em auditorias e relatórios. Você pode recuperar ou definir um comentário usando a API REST de verificação de código. O comentário está contido no dismissed_comment do ponto de extremidade alerts/{alert_number}. Para saber mais, confira Pontos de extremidade da API REST para varredura de código.

Se você ignorar um alerta de CodeQL como um falso resultado positivo, por exemplo, porque o código usa uma biblioteca de sanitização incompatível, considere contribuir para o repositório de CodeQL e melhorar a análise. Para obter mais informações sobre CodeQL, confira Contribuir para CodeQL.

Ignorar múltiplos alertas de uma vez

Se um projeto tem vários alertas que você deseja ignorar pelo mesmo motivo, você pode ignorá-los em massa do resumo de alertas. Normalmente, você pode querer filtrar a lista e, em seguida, ignorar todos os alertas correspondentes. Por exemplo, você pode querer ignorar todos os alertas atuais no projeto que foram marcados para uma vulnerabilidade específica de Enumeração de Fraqueza Comum (CWE).

Reabertura de alertas descartados

Se você descartar um alerta, mas depois perceber que precisa corrigi-lo, poderá reabri-lo e corrigir o problema com o código. Exiba a lista de alertas fechados, localize o alerta, exiba-o e abra-o novamente. Em seguida, você pode corrigir o alerta da mesma forma que qualquer outro alerta.

Como remover configurações obsoletas e alertas de um branch

Você pode ter várias code scanning configurações em um único repositório. Quando executadas, várias configurações podem gerar o mesmo alerta. Além disso, se as configurações forem executadas em agendamentos diferentes, os status do alerta poderão ficar desatualizados para configurações pouco frequentes ou obsoletas. Para obter mais informações sobre alertas de várias configurações, confira Alertas de escaneamento de código.

1. Em GitHub, acesse a página principal do repositório.

2. No nome do repositório, clique na Security and quality guia. Se você não conseguir ver a guia " Security and quality", selecione o menu suspenso e clique em Security and quality.

3. Na barra lateral esquerda, clique em Code scanning.

4. Em "Code scanning", clique em um code scanning alerta.

5. Na seção "Branches afetados" da barra lateral, clique no branch desejado.

6. Na caixa de diálogo "Análise de configurações", revise os detalhes das configurações que relataram esse alerta no branch selecionado. Para excluir uma configuração indesejada para o branch desejado, clique em .

   Se você excluir uma configuração por engano, clique em Cancelar para evitar aplicar as alterações.

   

7. Depois de remover as configurações indesejadas e confirmar que as configurações esperadas são exibidas, clique em Salvar alterações.

   Se você salvar as alterações depois de excluir acidentalmente uma configuração, execute novamente a configuração para atualizar o alerta. Para obter mais informações sobre como executar novamente as configurações que usam GitHub Actions, consulte Reexecutando fluxos de trabalho e tarefas.

Leitura adicional

• Alertas de varredura de código de triagem em pull requests
• Como definir a configuração padrão da verificação de código
• Integração com a análise de código