Zum Hauptinhalt springen
Das PR-Review prüft jeden Pull Request auf Sicherheitsprobleme. Es prüft den geänderten Code und alle geänderten Abhängigkeiten, verifiziert die Ergebnisse und kommentiert den Pull Request. Das PR-Review funktioniert mit GitHub und GitLab. Für Azure DevOps ist es nicht verfügbar.

​
PR-Review aktivieren

Das PR-Review ist standardmäßig aktiviert. Zwei Schalter steuern es:
  • Für Ihre Organisation: der Schalter Triggers bei PR review in Workflows.
  • Für jedes Repository: die Spalte PR Reviews unter Coverage → Repositories.
Um sie zu ändern, benötigen Sie die Rolle Owner oder Admin.

​
Wann ein Review läuft

Ein Review läuft, wenn ein Pull Request geöffnet, erneut geöffnet oder als bereit zum Review markiert wird oder neue Commits erhält.
  • Entwürfe werden erst geprüft, wenn sie bereit sind.
  • Neue Commits brechen das ältere Review ab.
  • Pull Requests aus Forks werden geprüft.
  • Pull Requests mit mehr als 300 geänderten Dateien werden übersprungen.
  • Wenn Ihr monatliches Kontingent aufgebraucht ist, kommentiert Enclave, dass das Review übersprungen wurde.
Um einen Pull Request bei Bedarf zu prüfen, bitten Sie Research: Run the Workflow "PR review".

​
Was das Review tut

  1. Analysiert den geänderten Code und, falls sich ein Manifest oder Lockfile geändert hat, die Abhängigkeiten.
  2. Verwirft Probleme, die nicht echt sind, keine Sicherheitsprobleme sind oder sich nicht auf die Änderung beziehen.
  3. Passt den Schweregrad an, je nachdem, ob der Code aus dem Internet erreichbar ist.
  4. Speichert die Findings in Risk und kommentiert den Pull Request.
Auf GitHub fügt das Review außerdem einen Check namens Enclave / PR analysis hinzu. Öffentliche Repositorys erhalten keine Kommentare.
Beginnen Sie mit einem nicht blockierenden Check. Machen Sie ihn verpflichtend, sobald Ihr Team den Ergebnissen vertraut.

​
PR-Findings in Risk

Öffnen Sie Risk → PR findings, um alle PR-Findings mit Repository, Pull Request und Schweregrad zu sehen. Öffnen Sie ein Finding, um das Problem, seine Auswirkungen und die betroffenen Zeilen zu sehen. Klicken Sie auf AI fix prompt, um einen Prompt für Ihren Coding-Assistenten zu kopieren. PR-Findings haben keinen Triage-Status. Das Schließen des Pull Requests ändert sie nicht.

​
Abhängigkeitsanalyse

Wenn ein Pull Request ein Manifest oder Lockfile ändert, prüft Enclave die geänderten Pakete auf Supply-Chain-Risiken, nicht nur auf bekannte CVEs. Enclave sucht nach:
  • Kompromittierten oder bösartigen Paketen
  • Typosquats und nicht vertrauenswürdigen Paketen
  • Angriffen, die in routinemäßigen Versionsupdates versteckt sind
  • Bekannten Schwachstellen
Für jedes geänderte Paket wägt Enclave Signale aus der Registry ab, etwa das Alter der Veröffentlichung, Wechsel bei den Maintainern und Installationsskripte. Wenn etwas auffällig ist, untersucht Enclave den Code des Pakets. Unterstützte Ökosysteme: Das binäre Format bun.lockb wird nicht unterstützt.