Exibindo e corrigindo alertas de segurança no GitHub aplicativo Copilot

Sobre a GitHub extensão de segurança

A GitHub extensão de segurança permite que você encontre, entenda e corrija code scanning alertas sem sair do GitHub Copilot app. Você também pode examinar as alterações locais em busca de novas vulnerabilidades antes de abrir um pull request.

Instale a extensão como parte do github-security plug-in. A extensão fornece um canvas rotulado Segurança, em que você pode trabalhar com alertas existentes e executar revisões locais de segurança junto com sua sessão.

Prerequisites

Para usar a GitHub extensão de segurança, você precisa:

• Um plano Copilot e o GitHub Copilot app, conectado à sua conta GitHub. Consulte Introdução ao GitHub aplicativo Copilot.
• Permissão para instalar o github-security plug-in nas configurações gerenciadas da sua empresa, se configurado.

Se você usar Copilot Business ou Copilot Enterprise, a GitHub Copilot app política deverá ser habilitada. Se o acesso ao aplicativo ou plug-in estiver bloqueado, contate o administrador.

Para exibir alertas existentes code scanning para um repositório na tela segurança, você também precisa ter acesso aos alertas do repositório, com code scanning habilitado. Repositórios privados exigem GitHub Code Security. Consulte Como definir a configuração padrão da verificação de código.

A extensão dá suporte a repositórios em GitHub.com e GitHub Enterprise Cloud com residência de dados. Não há suporte para GitHub Enterprise Server.

Você não precisa ter o code scanning habilitado ou uma licença do GitHub Code Security para executar uma revisão de segurança local.

Instalando a GitHub extensão de segurança

Para instalar o plug-in pelo terminal usando Copilot CLI, insira:

copilot plugin install github-security@awesome-copilot

copilot plugin install github-security@awesome-copilot

Como alternativa, instale o plug-in no GitHub Copilot app:

1. Na barra lateral do aplicativo, clique em Personalizar.
2. Na barra de pesquisa, procure github-security.
3. Em Plug-ins, ao lado de "github-security", clique em + Instalar.

Após a instalação, o plug-in e sua extensão são habilitados automaticamente.

Exibindo alertas de verificação de código no painel de segurança

Use a extensão para visualizar alertas abertos code scanning em seu repositório, ordenados por gravidade. Code scanning deve ser habilitado para o repositório e você deve ter acesso aos alertas dele.

1. Inicie uma nova sessão para o repositório no qual você deseja trabalhar.
2. Se a tela Segurança ainda não estiver aberta, clique , passe o cursor sobre Canvas e clique em Segurança.
3. Na home page da tela segurança da extensão, clique Code scanning em achados.
4. Para restringir a lista, no canto superior direito da tela, clique em para mostrar os controles de pesquisa e filtro.
5. Clique no título de um alerta para exibir sua descrição, gravidade e código afetado na tela.

Verifique as solicitações de pull vinculadas do alerta para ver se alguém já está trabalhando em uma correção. Para abrir a página de alerta completa em GitHub, passe o mouse sobre a linha do alerta, clique e clique em Abrir no navegador.

A extensão mostra code scanning alertas, não Dependabot ou secret scanning alertas.

Compreendendo e corrigindo alertas

Os botões Explicar e Corrigir pedem ao Copilot agente em sua sessão para agir nos alertas selecionados code scanning :

• Explain pede ao agente para explicar os alertas para que você possa entender as vulnerabilidades antes de decidir como resolvê-las.
• Fix solicita que o agente altere seu código para resolver os alertas.

1. Para trabalhar em um único alerta, clique nele para abrir seus detalhes ou passe o cursor sobre ele na lista de resultados para revelar os botões Explicar e Corrigir. Para trabalhar em vários alertas, marque as caixas de seleção ao lado deles.
2. Clique no botão Explicar ou Corrigir .
3. Examine a resposta do agente na sessão. Se você solicitou uma correção, examine o diff e execute os testes relevantes para seu projeto.
4. Continue a conversa para ajustar a correção conforme necessário.

Quando você clicar em Corrigir, Copilot altera apenas sua cópia de trabalho local. Ele não confirma alterações, as envia por push ou abre uma pull request. Quando estiver satisfeito com as alterações, faça commit delas e envie-as por push em seu processo de revisão normal.

Uma correção local não fecha um alerta code scanning. Depois que a correção chega à ramificação afetada e code scanning é executada novamente, ela determina se o alerta foi resolvido. Consulte Resolver alertas de varredura de código.

Você também pode perguntar Copilot sobre seus alertas diretamente no chat. Por exemplo:

Explain the highest-severity open code scanning alert in this
repository and suggest how I could fix it. Do not change any files.

Explain the highest-severity open code scanning alert in this
repository and suggest how I could fix it. Do not change any files.

As ferramentas da extensão de segurança seguem as configurações de permissões das ferramentas do aplicativo. Quando a aprovação é necessária, Copilot pergunta antes de usá-las, da mesma forma que outras ferramentas.

Ignorar alertas

Descarte um alerta quando você determinou que não precisa corrigi-lo, por exemplo, porque ele é um falso positivo. Você precisa de permissão para dispensar alertas code scanning no repositório.

Ao contrário de corrigir o código localmente, ignorar um alerta atualiza-o em GitHub.

1. Clique na parte superior da página de detalhes do alerta ou, na lista de descobertas, passe o mouse sobre a linha do alerta e clique no mesmo ícone.
2. Clique em Ignorar.
3. Selecione um motivo e adicione um comentário explicando sua decisão.
4. Clique em Dispensar achado ou, se a aprovação for necessária, envie a solicitação.

Se a dispensa delegada do alerta exigir aprovação para sua função no repositório, a extensão enviará uma solicitação de dispensa em vez de fechar o alerta. O alerta permanece aberto até que um revisor autorizado aprove a solicitação. As solicitações de dispensa são revisadas em GitHub, não na extensão.

Revisando alterações locais para novas vulnerabilidades

No painel de Segurança de uma sessão, você pode pedir ao agente Copilot para verificar as alterações atuais da sessão em busca de vulnerabilidades antes de abrir uma solicitação de pull. Você também pode iniciar a revisão com o /security-review comando barra. Esta é uma revisão focada de suas alterações, não uma auditoria de segurança de repositório completa ou uma substituição para code scanning.

1. Abra uma sessão ativa com alterações de código em andamento.
2. Se a tela Segurança ainda não estiver aberta, clique em , passe o cursor sobre Canvas e clique em Segurança.
3. Na home page do canvas de Segurança da extensão, em "Revisão de segurança", clique em Iniciar revisão. Como alternativa, na caixa de prompt da sessão, digite /security-review e pressione Enter.
4. Examine as descobertas locais na tela. Selecione os resultados e clique no botão Explicar ou Corrigir para pedir ao agente que explique os resultados ou altere seu código para resolvê-los.
5. Depois de alterar o código, execute a verificação novamente. A tela indica quando o código foi alterado desde a última revisão.

Para retornar aos resultados de uma revisão local anterior, clique em Resultados da última revisão na página inicial da tela Canvas de Segurança da extensão.

As conclusões da revisão local são separadas dos code scanning alertas em GitHub. A execução de uma revisão local não habilita code scanning.

Uso de IA

Quando você clica no botão Explicar ou Corrigir ou inicia uma revisão de segurança, o Copilot agente usa o modelo selecionado no aplicativo e consome AI credits como outros prompts. Navegar e ignorar alertas no canvas não usam IA.