Сканирование кода при запросах на вытягивание

Узнайте, как CodeQL и ИИ Scan найти и предотвратить уязвимости в запросах на вытягивание в организациях.

Кто может использовать эту функцию?

Требуется доступ:

  • Представления организации: доступ на запись к репозиториям в организации
  • Корпоративные представления: владелец организации и менеджеры по безопасности

Организации, принадлежащие учетной записи GitHub Team с GitHub Code Security, или принадлежащие учетной записи GitHub Enterprise с GitHub Code Security

В этой статье

Overview

Отчет "Сканирование кода на запросы на вытягивание" в обзоре безопасности помогает понять, насколько хорошо code scanning предотвращает уязвимости в запросах на вытягивание в организации или в разных организациях в вашей организации. Вы можете просмотреть весь набор данных или отфильтровать по определённым критериям, что облегчает поиск репозиториев, где может потребоваться принять меры для поиска и снижения рисков безопасности.

В отчете есть отдельные CodeQL вкладки "Сканирование ИИ ".

Доступные метрики

CodeQL Метрики

Обзор показывает краткое описание того, сколько уязвимостей, предотвращенных CodeQL с помощью pull-запросов, было обнаружено. Метрики отслеживаются только для запросов на вытягивание, объединенных в ветвь по умолчанию репозиториев в организациях.

Также можно найти более детализированные метрики, например, сколько уведомлений было исправлено с рекомендациями и без Copilot Autofixних, сколько было нерешённым и объединенным, а сколько было отвергнуто как ложноположительные или принятые риски.

Вы также можете просмотреть следующее:

  • Правила, вызывающие большинство оповещений, и сколько оповещений связано с каждым правилом.

  • Количество оповещений, объединенных в ветвь по умолчанию без разрешения, и количество оповещений, отклоненных как допустимый риск.

  • Количество оповещений, которые были исправлены при принятом Copilot Autofix предложении, отображалось как часть от общего Copilot Autofix количества доступных предложений.

  • Показатели устранения — на графике, показывающем процент предупреждений, которые были устранены с помощью доступного Copilot Autofix предложения, и процент предупреждений, устраненных без Copilot Autofix рекомендации.

  • Среднее время на устранение — на графике, показывающем средний возраст закрытых оповещений, которые были устранены с помощью доступного Copilot Autofix предложения, и средний возраст закрытых оповещений, устраненных без Copilot Autofix рекомендации.

Примечание.

Метрики Copilot Autofix для будут отображаться только для репозиториев, где Copilot Autofix включено.

Метрики сканирования ИИ

На вкладке "Сканирование ИИ" показано:

  • Общие результаты: Количество результатов сканирования ИИ.
  • Выводы с предложениями автофикса: Число и процент выводов, которые имели Copilot Autofix предложение.
  • Результаты сканирования ИИ в запросах на вытягивание: Диаграмма, которая группируют результаты с течением времени, предлагаемыми автофиксом , и автофикс не предлагается.
  • Результаты результатов с предложением автофикса: Доля выводов, в которых было применено исправление, или вывод был отклонен.
  • Результаты результатов без предложения автофикса: Доля выводов, в которых было применено исправление, или вывод был отклонен.

Диапазон дат и фильтры, которые вы выбираете, применяются ко всем метрикам сканирования ИИ, отображаемым в отчете.

Видимость

Вы можете увидеть code scanning метрики для репозитория, если у вас есть:

  • Роль admin репозитория
  • Пользовательская роль репозитория с детализированными правами "View code scanning alerts" для репозитория
  • Доступ к оповещениям для репозитория

Дальнейшие действия

Чтобы просмотреть отчет "Сканирование кода по запросам на вытягивание", см. раздел Просмотр метрик сканирования кода для запросов на вытягивание.