Passer au contenu principal
La revue des PR examine chaque pull request à la recherche de failles de sécurité. Elle analyse le code modifié et les dépendances modifiées, vérifie ce qu’elle trouve et commente la pull request. La revue des PR fonctionne avec GitHub et GitLab. Elle n’est pas disponible pour Azure DevOps.

​
Activer la revue des PR

La revue des PR est activée par défaut. Deux interrupteurs la contrôlent :
  • Pour votre organisation : l’interrupteur Triggers de PR review dans Workflows.
  • Pour chaque dépôt : la colonne PR Reviews dans Coverage → Repositories.
Vous avez besoin du rôle Owner ou Admin pour les modifier.

​
Quand une revue s’exécute

Une revue s’exécute lorsqu’une pull request est ouverte, rouverte, marquée comme prête pour la revue ou reçoit de nouveaux commits.
  • Les brouillons ne sont pas examinés tant qu’ils ne sont pas prêts.
  • De nouveaux commits annulent la revue précédente.
  • Les pull requests issues de forks sont examinées.
  • Les pull requests comportant plus de 300 fichiers modifiés sont ignorées.
  • Lorsque votre allocation mensuelle est épuisée, Enclave publie un commentaire indiquant qu’il a ignoré la revue.
Pour examiner une pull request à la demande, demandez à Research : Run the Workflow "PR review".

​
Ce que fait la revue

  1. Elle analyse le code modifié, ainsi que les dépendances si un manifeste ou un fichier de verrouillage a changé.
  2. Elle écarte les problèmes qui ne sont pas réels, qui ne relèvent pas de la sécurité ou qui ne concernent pas la modification.
  3. Elle ajuste la sévérité selon que le code est accessible ou non depuis Internet.
  4. Elle enregistre les findings dans Risk et commente la pull request.
Sur GitHub, la revue ajoute aussi un check nommé Enclave / PR analysis. Les dépôts publics ne reçoivent pas de commentaires.
Commencez avec un check non bloquant. Rendez-le obligatoire une fois que votre équipe fait confiance au signal.

​
Findings de PR dans Risk

Ouvrez Risk → PR findings pour voir tous les findings de PR avec leur dépôt, leur pull request et leur sévérité. Ouvrez un finding pour voir le problème, son impact et les lignes concernées. Cliquez sur AI fix prompt pour copier un prompt destiné à votre assistant de code. Les findings de PR n’ont pas de statut de triage, et la fermeture de la pull request ne les modifie pas.

​
Analyse des dépendances

Lorsqu’une pull request modifie un manifeste ou un fichier de verrouillage, Enclave examine les paquets modifiés à la recherche de risques pour la chaîne d’approvisionnement, et pas seulement de CVE connues. Il recherche :
  • Les paquets compromis ou malveillants
  • Le typosquatting et les paquets non fiables
  • Les attaques dissimulées dans des montées de version de routine
  • Les vulnérabilités connues
Pour chaque paquet modifié, Enclave évalue des signaux du registre, comme l’ancienneté de publication, les changements de mainteneurs et les scripts d’installation, et inspecte le code du paquet lorsque quelque chose semble anormal. Écosystèmes pris en charge : Le format binaire bun.lockb n’est pas pris en charge.