Pular para o conteúdo principal
A revisão de PRs verifica cada pull request em busca de problemas de segurança. Ela revisa o código alterado e as dependências alteradas, verifica o que encontra e comenta no pull request. A revisão de PRs funciona com o GitHub e o GitLab. Ela não está disponível para o Azure DevOps.

​
Ativar a revisão de PRs

A revisão de PRs vem ativada por padrão. Dois botões a controlam:
  • Para a sua organização: o botão Triggers em PR review em Workflows.
  • Para cada repositório: a coluna PR Reviews em Coverage → Repositories.
Você precisa da função Owner ou Admin para alterá-los.

​
Quando uma revisão é executada

Uma revisão é executada quando um pull request é aberto, reaberto, marcado como pronto para revisão ou recebe novos commits.
  • Rascunhos só são revisados quando ficam prontos.
  • Novos commits cancelam a revisão anterior.
  • Pull requests de forks são revisados.
  • Pull requests com mais de 300 arquivos alterados são ignorados.
  • Quando sua cota mensal acaba, o Enclave comenta avisando que ignorou a revisão.
Para revisar um pull request sob demanda, peça ao Research: Run the Workflow "PR review".

​
O que a revisão faz

  1. Analisa o código alterado e, se um manifesto ou lockfile mudou, as dependências.
  2. Descarta problemas que não são reais, que não são de segurança ou que não apontam para a alteração.
  3. Ajusta a severidade conforme o código seja ou não alcançável pela internet.
  4. Salva os achados no Risk e comenta no pull request.
No GitHub, a revisão também adiciona uma verificação chamada Enclave / PR analysis. Repositórios públicos não recebem comentários.
Comece com a verificação como não bloqueante. Torne-a obrigatória quando sua equipe confiar no sinal.

​
Achados de PR no Risk

Abra Risk → PR findings para ver todos os achados de PR com o repositório, o pull request e a severidade. Abra um achado para ver o problema, o impacto e as linhas afetadas. Clique em AI fix prompt para copiar um prompt para o seu assistente de programação. Achados de PR não têm status de triagem, e fechar o pull request não os altera.

​
Análise de dependências

Quando um pull request altera um manifesto ou lockfile, o Enclave verifica os pacotes alterados quanto a riscos na cadeia de suprimentos, não apenas CVEs conhecidas. Ele procura:
  • Pacotes comprometidos ou maliciosos
  • Typosquats e pacotes não confiáveis
  • Ataques escondidos em atualizações de versão rotineiras
  • Vulnerabilidades conhecidas
Para cada pacote alterado, o Enclave pondera sinais do registro, como a idade da publicação, mudanças de mantenedores e scripts de instalação, e inspeciona o código do pacote quando algo parece estranho. Ecossistemas compatíveis: O formato binário bun.lockb não é compatível.