Como corrigir alertas em uma campanha de segurança

Como ver os alertas em uma campanha de segurança

Quando uma campanha direciona alertas de segurança em um repositório no qual você tem permissão de escrita, você pode navegar até a lista de alertas do repositório na campanha.

• Exiba a Security and quality aba do repositório e clique em uma das campanhas em "Campanhas" na barra lateral.
• Se você tiver acesso de gravação a mais de um repositório na organização, exiba a guia Security and quality para a organização e clique em uma das campanhas em "Campanhas" na barra lateral.
• Como alternativa, clique em Exibir campanha de segurança na notificação por email da campanha.

Essa exibição mostra os alertas no repositório atual para uma campanha chamada “Injeção de SQL (CWE-89)” (realçado em cinza) que é gerenciada por “octocat” (contornado em laranja-escuro).

Como corrigir alertas em uma campanha de segurança

Caso deseje ver o código que disparou o alerta de segurança e a correção sugerida, selecione o nome do alerta para mostrar a exibição de alertas.

Se agente de nuvem Copilot estiver disponível no repositório, a maneira mais rápida de resolver alertas é atribuí-los Copilot, que explora a base de código, gera uma correção, valida e abre uma solicitação de pull para você. Veja a atribuição dos alertas a agente de nuvem Copilot abaixo. As etapas a seguir descrevem como corrigir alertas por conta própria.

1. Quando estiver pronto para trabalhar em um ou mais alertas de segurança, verifique se ninguém mais está trabalhando neles. Na exibição de campanha, os ícones do Git são exibidos nos alertas em que uma correção já possa estar em andamento. Selecione um ícone para ver o trabalho vinculado:

   • uma solicitação de pull de rascunho aberto pode corrigir este alerta.
   • uma solicitação de pull aberta pode corrigir esse alerta.
   • um branch pode conter alterações para corrigir esse alerta.

2. No modo de exibição de campanha do repositório, selecione os alertas que você deseja corrigir.

3. Conecte os alertas de segurança a um branch ativo:

   • Se, pelo menos, uma sugestão de “Correção automática” estiver disponível para os alertas selecionados, clique em Confirmar correção automática e confirme as alterações em uma ramificação nova ou existente.
   • Se nenhuma sugestão de autofixo estiver disponível para os alertas selecionados, clique em Criar nova ramificação para criar uma ramificação em que você trabalhará na correção dos alertas.

4. Quando terminar de corrigir os alertas e testar as soluções, crie uma pull request para as alterações e solicite uma revisão do gerente de campanha.

Atribuindo alertas a agente de nuvem Copilot

Em vez de corrigir os alertas por conta própria, você pode selecionar um ou mais alertas (até 25) na visualização da campanha e atribuí-los a Copilot, que resolve os alertas selecionados em um único pull request e adiciona você como revisor solicitado. Esse é o mesmo fluxo de atribuição usado para corrigir um alerta individual. Consulte Resolver alertas de varredura de código.

1. No modo de exibição de campanha do repositório, selecione os alertas que você deseja atribuir.
2. Acima da lista de alertas, clique em Atribuir a Copilot.

Normalmente, em alguns minutos, Copilot abre uma solicitação de pull que trata dos alertas atribuídos, com um resumo das correções e das alterações feitas. Depois de criada, a solicitação de pull é mostrada ao lado do alerta.

Uso Copilot Chat do GitHub para codificação segura

Se você tiver acesso, Bate-papo do Copilot poderá fazer perguntas de IA sobre a vulnerabilidade, a correção sugerida e como testar se a correção é abrangente.