Verificação de código em pull requests

Entenda como CodeQL e AI Scan encontram e ajudam a evitar vulnerabilidades em solicitações de pull em suas organizações.

Quem pode usar esse recurso?

O acesso requer:

  • Exibições da organização: acesso para gravação a repositórios na organização
  • Exibições corporativas: proprietários da organização e gerentes de segurança

Organizações pertencentes a uma conta do GitHub Team com o GitHub Code Security, ou pertencentes a uma conta do GitHub Enterprise com GitHub Code Security

Neste artigo

Visão geral

O relatório "Verificação de código em pull requests" na visão geral de segurança ajuda você a entender o quão bem code scanning está impedindo vulnerabilidades em pull requests em sua organização ou entre organizações em sua enterprise. Você pode exibir todo o conjunto de dados ou filtrar critérios específicos, facilitando a identificação de repositórios em que talvez seja necessário tomar medidas para localizar e reduzir os riscos de segurança.

O relatório tem guias separadas CodeQL e Verificação de IA.

Métricas disponíveis

CodeQL métricas

A visão geral mostra um resumo de quantas vulnerabilidades prevenidas por CodeQL foram capturadas em pull requests. As métricas são monitoradas somente em pull requests que foram mesclados nas ramificações padrão dos repositórios das suas organizações.

Você também pode encontrar métricas mais granulares, como quantos alertas foram corrigidos com e sem Copilot Autofix sugestões, quantos não foram resolvidos e foram mesclados e quantos foram descartados como falsos positivos ou aceitos como risco.

Você também pode visualizar:

  • As regras que estão causando a maioria dos alertas e a quantos alertas cada regra está associada.

  • O número de alertas que foram integrados ao branch padrão sem serem resolvidos e o número de alertas descartados como nível de risco aceitável.

  • O número de alertas corrigidos com uma sugestão aceita Copilot Autofix , exibido como uma fração de quantas sugestões totais Copilot Autofix estavam disponíveis.

  • Taxas de correção, em um grafo mostrando o percentual de alertas que foram corrigidos com uma sugestão disponível Copilot Autofix e o percentual de alertas que foram corrigidos sem uma Copilot Autofix sugestão.

  • Tempo médio para correção, em um grafo mostrando a idade média dos alertas fechados que foram corrigidos com uma sugestão disponível Copilot Autofix e a idade média dos alertas fechados que foram corrigidos sem uma Copilot Autofix sugestão.

Observação

Somente serão mostradas métricas para repositórios em que Copilot Autofix está habilitado.

Métricas de escaneamento de IA

A guia AI Scan mostra:

  • Total de resultados: O número de resultados do AI Scan.
  • Achados com sugestões do Autofix: O número e o percentual de achados que tiveram uma Copilot Autofix sugestão.
  • Descobertas de verificação de IA em pull requests: Um gráfico que agrupa as descobertas ao longo do tempo por Autofix sugerido e Autofix não sugerido.
  • Resultados dos achados com uma sugestão de correção automática: A proporção de achados em que uma correção foi aplicada ou o achado foi descartado.
  • Resultados dos achados sem uma sugestão de correção automática: A parcela de achados em que uma correção foi aplicada ou o achado foi descartado.

O intervalo de datas e os filtros selecionados aplicam-se a todas as métricas de Verificação de IA exibidas no relatório.

Visibilidade

Você poderá ver code scanning as métricas de um repositório se tiver:

  • A admin função para o repositório
  • Uma função de repositório personalizada com as permissões refinadas "Exibir code scanning alertas" para o repositório
  • Acesso a alertas para o repositório

Próximas Etapas 

Para exibir o relatório "Verificação de código em solicitações de pull", consulte Exibindo métricas de verificação de código para pull requests.