Vai al contenuto principale
La revisione delle PR controlla ogni pull request alla ricerca di problemi di sicurezza. Esamina il codice modificato e le eventuali dipendenze modificate, verifica ciò che trova e commenta la pull request. La revisione delle PR funziona con GitHub e GitLab. Non è disponibile per Azure DevOps.

​
Attiva la revisione delle PR

La revisione delle PR è attiva per impostazione predefinita. Due interruttori la controllano:
  • Per la tua organizzazione: l’interruttore Triggers su PR review in Workflows.
  • Per ogni repository: la colonna PR Reviews in Coverage → Repositories.
Per modificarli ti serve il ruolo Owner o Admin.

​
Quando viene eseguita una revisione

Una revisione viene eseguita quando una pull request viene aperta, riaperta, segnata come pronta per la revisione o riceve nuovi commit.
  • Le bozze non vengono esaminate finché non sono pronte.
  • I nuovi commit annullano la revisione precedente.
  • Le pull request dai fork vengono esaminate.
  • Le pull request con più di 300 file modificati vengono saltate.
  • Quando la tua quota mensile si esaurisce, Enclave lascia un commento per indicare che ha saltato la revisione.
Per esaminare una pull request su richiesta, chiedi a Research: Run the Workflow "PR review".

​
Cosa fa la revisione

  1. Analizza il codice modificato e, se è cambiato un manifest o un lockfile, le dipendenze.
  2. Scarta i problemi che non sono reali, non riguardano la sicurezza o non si riferiscono alla modifica.
  3. Regola la gravità in base al fatto che il codice sia raggiungibile da internet.
  4. Salva i finding in Risk e commenta la pull request.
Su GitHub, la revisione aggiunge anche un check chiamato Enclave / PR analysis. I repository pubblici non ricevono commenti.
Inizia con il check non bloccante. Rendilo obbligatorio quando il tuo team si fida del segnale.

​
Finding delle PR in Risk

Apri Risk → PR findings per vedere ogni finding delle PR con il relativo repository, pull request e gravità. Apri un finding per vedere il problema, il suo impatto e le righe coinvolte. Fai clic su AI fix prompt per copiare un prompt per il tuo assistente di coding. I finding delle PR non hanno uno stato di triage, e chiudere la pull request non li modifica.

​
Analisi delle dipendenze

Quando una pull request modifica un manifest o un lockfile, Enclave controlla i pacchetti modificati alla ricerca di rischi per la supply chain, non solo di CVE note. Cerca:
  • Pacchetti compromessi o malevoli
  • Typosquat e pacchetti non affidabili
  • Attacchi nascosti in normali aggiornamenti di versione
  • Vulnerabilità note
Per ogni pacchetto modificato, Enclave valuta i segnali del registry come l’età della pubblicazione, i cambi di maintainer e gli script di installazione, e ispeziona il codice del pacchetto quando qualcosa non torna. Ecosistemi supportati: Il formato binario bun.lockb non è supportato.