Saltar al contenido principal
La revisión de PR comprueba cada pull request en busca de problemas de seguridad. Revisa el código modificado y las dependencias que cambien, verifica lo que encuentra y comenta en el pull request. La revisión de PR funciona con GitHub y GitLab. No está disponible para Azure DevOps.

​
Activar la revisión de PR

La revisión de PR está activada de forma predeterminada. La controlan dos interruptores:
  • Para tu organización: el interruptor Triggers de PR review en Workflows.
  • Para cada repositorio: la columna PR Reviews en Coverage → Repositories.
Necesitas el rol Owner o Admin para cambiarlos.

​
Cuándo se ejecuta una revisión

Una revisión se ejecuta cuando un pull request se abre, se reabre, se marca como listo para revisión o recibe commits nuevos.
  • Los borradores no se revisan hasta que están listos.
  • Los commits nuevos cancelan la revisión anterior.
  • Los pull requests desde forks se revisan.
  • Los pull requests con más de 300 archivos modificados se omiten.
  • Cuando se agota tu asignación mensual, Enclave comenta para avisar de que omitió la revisión.
Para revisar un pull request bajo demanda, pídeselo a Research: Run the Workflow "PR review".

​
Qué hace la revisión

  1. Analiza el código modificado y, si cambió un manifiesto o un lockfile, las dependencias.
  2. Descarta los problemas que no son reales, que no son de seguridad o que no apuntan al cambio.
  3. Ajusta la severidad según si el código se puede alcanzar desde internet.
  4. Guarda los hallazgos en Risk y comenta en el pull request.
En GitHub, la revisión también añade un check llamado Enclave / PR analysis. Los repositorios públicos no reciben comentarios.
Empieza con el check como no bloqueante. Hazlo obligatorio cuando tu equipo confíe en sus resultados.

​
Hallazgos de PR en Risk

Abre Risk → PR findings para ver todos los hallazgos de PR con su repositorio, su pull request y su severidad. Abre un hallazgo para ver el problema, su impacto y las líneas afectadas. Haz clic en AI fix prompt para copiar un prompt para tu asistente de programación. Los hallazgos de PR no tienen estado de triaje, y cerrar el pull request no los cambia.

​
Análisis de dependencias

Cuando un pull request cambia un manifiesto o un lockfile, Enclave comprueba los paquetes modificados en busca de riesgos de la cadena de suministro, no solo de CVE conocidos. Busca:
  • Paquetes comprometidos o maliciosos
  • Typosquatting y paquetes no fiables
  • Ataques ocultos en actualizaciones de versión rutinarias
  • Vulnerabilidades conocidas
Para cada paquete modificado, Enclave evalúa señales del registro, como la antigüedad de la publicación, los cambios de mantenedores y los scripts de instalación, e inspecciona el código del paquete cuando algo no encaja. Ecosistemas compatibles: El formato binario bun.lockb no es compatible.