Anzeigen und Beheben von Sicherheitswarnungen im GitHub-App Copilot

Bearbeiten Sie code scanning Warnungen zusammen mit Ihrem Code mithilfe der GitHub Sicherheitserweiterung für die GitHub Copilot app.

Wer kann dieses Feature verwenden?

Das GitHub Copilot app ist für alle Copilot-Pläne verfügbar.
Laden Sie die GitHub Copilot app herunter

In diesem Artikel

Hinweis

Die GitHub Sicherheitserweiterung befindet sich in Öffentliche Vorschau und kann sich ändern.

Informationen zur GitHub Sicherheitserweiterung

Mit der GitHub Sicherheitserweiterung können Sie code scanning Warnungen finden, verstehen und beheben, ohne die GitHub Copilot app zu verlassen. Sie können ihre lokalen Änderungen auch auf neue Sicherheitsrisiken überprüfen, bevor Sie einen Pull Request öffnen.

Sie installieren die Erweiterung als Teil des github-security Plug-Ins. Die Erweiterung bietet eine Canvas mit der Bezeichnung Sicherheit, in der Sie mit vorhandenen Warnungen arbeiten und lokale Sicherheitsüberprüfungen zusammen mit Ihrer Sitzung ausführen können.

Prerequisites

Um die GitHub Sicherheitserweiterung zu verwenden, benötigen Sie Folgendes:

  • Ein Copilot-Plan und der GitHub Copilot app, bei Ihrem GitHub-Konto angemeldet. Siehe Erste Schritte mit dem GitHub-App Copilot.
  • Berechtigung zum Installieren des github-security Plug-Ins unter den verwalteten Einstellungen Ihres Unternehmens, falls konfiguriert.

Wenn Sie Copilot Business oder Copilot Enterprise verwenden, muss die Richtlinie GitHub Copilot app aktiviert sein. Wenn der Zugriff auf die App oder das Plug-In blockiert ist, wenden Sie sich an Ihren Administrator.

Um vorhandene code scanning Warnungen für ein Repository im Sicherheitsbereich anzuzeigen, benötigen Sie auch Zugriff auf die Warnungen für das Repository, für den code scanning aktiviert ist. Private Repositorys erfordern GitHub Code Security. Siehe Konfigurieren des Standardsetups für das Code-Scanning.

Die Erweiterung unterstützt Repositorys für GitHub.com und GitHub Enterprise Cloud mit Data Residency. GitHub Enterprise Server wird nicht unterstützt.

Sie benötigen weder ein aktiviertes code scanning noch eine GitHub Code Security-Lizenz, um eine lokale Sicherheitsüberprüfung auszuführen.

Installieren der GitHub Sicherheitserweiterung

Um das Plug-In über das Terminal zu installieren, Copilot CLIgeben Sie Folgendes ein:

Shell
copilot plugin install github-security@awesome-copilot

Alternativ können Sie das Plug-In in GitHub Copilot app installieren:

  1. Klicken Sie in der App-Randleiste auf "Anpassen".
  2. Suchen Sie in der Suchleiste nach github-security.
  3. Klicken Sie unter Plugins neben "github-security" auf +Installieren.

Nach der Installation werden das Plug-In und seine Erweiterung automatisch aktiviert.

Anzeigen von Code-Scanning-Warnungen im Security canvas

Verwenden Sie die Erweiterung, um geöffnete code scanning Warnungen in Ihrem Repository anzuzeigen, sortiert nach Schweregrad. Code scanning muss für das Repository aktiviert sein, und Sie müssen Zugriff auf die zugehörigen Warnungen haben.

  1. Starten Sie eine neue Sitzung für das Repository, an dem Sie arbeiten möchten.
  2. Wenn der Sicherheits-Canvas noch nicht geöffnet ist, klicken Sie auf , zeigen Sie auf Canvas, und klicken Sie dann auf Sicherheit.
  3. Klicken Sie auf der Startseite der Erweiterung "Security canvas" auf Code scanning Ergebnisse.
  4. Um die Liste einzugrenzen, klicken Sie in der oberen rechten Ecke des Zeichenbereichs, um die Such- und Filtersteuerelemente anzuzeigen.
  5. Klicken Sie auf den Titel einer Warnung, um die Beschreibung, den Schweregrad und den betroffenen Code im Zeichenbereich anzuzeigen.

Überprüfen Sie die verknüpften Pull Requests der Warnung, um festzustellen, ob jemand bereits an einem Fix arbeitet. Um die vollständige Warnungsseite auf GitHub zu öffnen, zeigen Sie mit der Maus auf die Zeile der Warnung, klicken Sie auf , und klicken Sie dann auf Im Browser öffnen.

Die Erweiterung zeigt code scanning Warnungen an, nicht Dependabot oder secret scanning Warnungen.

Warnungen verstehen und beheben

Die Schaltflächen "Erläutern" und "Korrigieren" bitten den Copilot Agent in Ihrer Sitzung, auf die ausgewählten code scanning Warnungen zu reagieren:

  • Erklärung fordert den Agenten auf, die Warnungen zu erläutern, damit Sie die Sicherheitsrisiken verstehen können, bevor Sie entscheiden, wie sie behoben werden sollen.
  • Fix fordert den Agent auf, Ihren Code so zu ändern, dass er die Warnungen adressiert.
  1. Wenn Sie an einer einzelnen Warnung arbeiten möchten, klicken Sie darauf, um die Details zu öffnen oder in der Ergebnisliste darauf zu zeigen, um die Schaltflächen " Erläutern " und "Korrigieren " anzuzeigen. Wenn Sie an mehreren Warnungen arbeiten möchten, aktivieren Sie die Kontrollkästchen neben ihnen.
  2. Klicken Sie auf die Schaltfläche Erläutern oder Korrigieren.
  3. Überprüfen Sie die Antwort des Agents in der Sitzung. Wenn Sie einen Fix angefordert haben, überprüfen Sie den Diff, und führen Sie die relevanten Tests für Ihr Projekt aus.
  4. Fahren Sie mit der Konversation fort, um die Lösung bei Bedarf anzupassen.

Wenn Sie auf "Korrigieren" klicken, ändert Copilot nur Ihre lokale Arbeitskopie. Änderungen werden weder übernommen noch gepusht, und es wird keine Pull-Anfrage geöffnet. Wenn Sie mit den Änderungen zufrieden sind, erstellen Sie einen Commit und pushen Sie sie über Ihren normalen Review-Prozess.

Ein lokaler Fix schließt eine code scanning Warnung nicht. Nachdem der Fix den betroffenen Branch erreicht hat und code scanning erneut ausgeführt wird, entscheidet code scanning, ob die Warnung behoben ist. Siehe Lösen von Code-Scan-Warnungen.

Sie können auch Copilot direkt im Chat nach Ihren Benachrichtigungen fragen. Beispiele:

Copilot prompt
Explain the highest-severity open code scanning alert in this
repository and suggest how I could fix it. Do not change any files.

Die Tools der Sicherheitserweiterung folgen den Werkzeugberechtigungseinstellungen der App. Wenn eine Genehmigung erforderlich ist, fragt Copilot vor der Verwendung auf die gleiche Weise wie andere Tools.

Verwerfen von Warnungen

Schließen Sie eine Warnung, wenn Sie festgestellt haben, dass Sie sie nicht beheben müssen, z. B. weil es sich um ein falsch positives Ergebnis handelt. Sie benötigen die Berechtigung, code scanning Warnungen im Repository zu verwerfen.

Im Gegensatz zum lokalen Beheben von Code wird die Warnung beim Schließen auf GitHub aktualisiert.

  1. Klicken Sie oben auf der Detailseite der Warnung, oder bewegen Sie in der Ergebnisliste den Mauszeiger über die Zeile der Warnung und klicken Sie auf dasselbe Symbol.
  2. Klicken Sie auf "Schließen".
  3. Wählen Sie einen Grund aus, und fügen Sie einen Kommentar hinzu, der Ihre Entscheidung erläutert.
  4. Klicken Sie auf Fund verwerfen oder, falls eine Genehmigung erforderlich ist, senden Sie die Anforderung.

Wenn das Schließen einer Warnung für Ihre Rolle im Repository eine Genehmigung erfordert, sendet die Erweiterung eine Anfrage zum Schließen, anstatt die Warnung zu schließen. Die Warnung bleibt geöffnet, bis ein autorisierter Prüfer die Anforderung genehmigt. Ablehnungsanträge werden überprüft GitHub, nicht in der Erweiterung.

Überprüfung lokaler Änderungen auf neue Sicherheitslücken

Im Security-Canvas für eine Sitzung können Sie den Copilot Agent bitten, die aktuellen Änderungen der Sitzung auf Sicherheitsrisiken zu überprüfen, bevor Sie einen Pull Request öffnen. Sie können die Überprüfung auch mit dem /security-review Schrägstrichbefehl starten. Dies ist eine fokussierte Überprüfung Ihrer Änderungen, keine vollständige Repository-Sicherheitsprüfung oder ein Ersatz für code scanning.

  1. Öffnen Sie eine aktive Sitzung mit Änderungen in Bearbeitung.
  2. Wenn der Security-Canvas noch nicht geöffnet ist, klicken Sie auf , zeigen Sie auf Canvas, und klicken Sie dann auf Security.
  3. Klicken Sie auf der Startseite der Erweiterung „Security canvas“ unter „Sicherheitsüberprüfung“ auf „Überprüfung starten“. Alternativ geben Sie im Eingabeaufforderungsfeld der Sitzung /security-review ein und drücken Enter.
  4. Überprüfen Sie die lokalen Ergebnisse im Canvas. Wählen Sie Erkenntnisse aus, und klicken Sie dann auf die Schaltfläche „Erläutern“ oder „Korrigieren“, um den Agenten zu bitten, die Erkenntnisse zu erläutern oder Ihren Code zu ändern, um sie zu beheben.
  5. Führen Sie nach dem Ändern des Codes die Überprüfung erneut aus. Das Canvas gibt an, wann sich Ihr Code seit der letzten Überprüfung geändert hat.

Um zu Ergebnissen aus einer vorherigen lokalen Überprüfung zurückzukehren, klicken Sie auf der Startseite der Sicherheits-Canvas der Erweiterung auf Ergebnisse der letzten Überprüfung.

Lokale Überprüfungsergebnisse sind getrennt von code scanning Warnungen zu GitHub. Eine lokale Überprüfung aktiviert code scanning nicht.

KI-Nutzung

Wenn Sie auf die Schaltfläche „Erklären“ oder „Korrigieren“ klicken oder eine Sicherheitsüberprüfung starten, verwendet der Copilot Agent das in der App ausgewählte Modell und verbraucht AI credits wie andere Eingabeaufforderungen. Das Anzeigen und Schließen von Warnungen im Zeichenbereich verwenden keine KI.