Просмотр и исправление оповещений системы безопасности в приложение Copilot GitHub

Работа с code scanning оповещениями вместе с кодом с помощью GitHub расширения безопасности для GitHub Copilot app.

Кто может использовать эту функцию?

Доступно GitHub Copilot app для всех Copilot планов.
Скачайте GitHub Copilot app

В этой статье

Примечание.

Расширение GitHub безопасности находится Публичный предварительный просмотр и подлежит изменению.

GitHub Сведения о расширении безопасности

Расширение GitHub безопасности позволяет находить, понимать и исправлять code scanning оповещения без выхода из системы GitHub Copilot app. Вы также можете просмотреть локальные изменения для новых уязвимостей перед открытием запроса на вытягивание.

Расширение устанавливается как часть подключаемого github-security модуля. Расширение предоставляет пометку "Безопасность на холсте", где можно работать с существующими оповещениями и выполнять локальные проверки безопасности вместе с сеансом.

Prerequisites

Чтобы использовать GitHub расширение безопасности, вам потребуется:

  • План Copilot и GitHub Copilot appвход в учетную GitHub запись. См . раздел AUTOTITLE.
  • Разрешение на установку github-security подключаемого модуля в управляемых параметрах предприятия, если настроено.

Если используется Copilot Business или Copilot Enterpriseполитика должна быть включена GitHub Copilot app . Если доступ к приложению или подключаемого модуля заблокирован, обратитесь к администратору.

Для просмотра существующих code scanning оповещений для репозитория на холсте безопасности также требуется доступ к оповещениям для репозитория с code scanning включенным. Требуются GitHub Code Securityчастные репозитории. См . раздел AUTOTITLE.

Расширение поддерживает репозитории в GitHub.com и GitHub Enterprise Cloud с размещением данных. Функция GitHub Enterprise Server не поддерживается.

Вам не требуется code scanning включить или GitHub Code Security лицензию для выполнения локальной проверки безопасности.

GitHub Установка расширения безопасности

Чтобы установить подключаемый модуль из терминала, Copilot CLIвведите следующее:

Shell
copilot plugin install github-security@awesome-copilot

Кроме того, установите подключаемый модуль в :GitHub Copilot app

  1. На боковой панели приложения нажмите кнопку "Настроить".
  2. В строке поиска найдите github-security.
  3. В разделе "Подключаемые модули" рядом с элементом "github-security" нажмите кнопку +Установить.

После установки подключаемый модуль и его расширение автоматически включены.

Просмотр оповещений сканирования кода на холсте безопасности

Используйте расширение для просмотра открытых code scanning оповещений в репозитории, упорядоченных по серьезности. Code scanning необходимо включить для репозитория и иметь доступ к его оповещениям.

  1. Запустите новый сеанс для репозитория, над которым вы хотите работать.
  2. Если холст безопасности еще не открыт, щелкните ,наведите указатель мыши на холст, а затем нажмите кнопку "Безопасность".
  3. На домашней странице холста безопасности расширения щелкните Code scanning результаты.
  4. Чтобы сузить список, в правом верхнем углу холста щелкните , чтобы отобразить элементы управления поиском и фильтрацией.
  5. Щелкните заголовок оповещения, чтобы просмотреть его описание, серьезность и затронутый код на холсте.

Проверьте связанные запросы на вытягивание оповещений, чтобы узнать, работает ли кто-то в исправлении. Чтобы открыть полную страницу GitHubоповещений, наведите указатель мыши на строку оповещения, нажмите кнопку " Открыть" в браузере.

Расширение отображает code scanning оповещения, а не Dependabotsecret scanning оповещения.

Основные сведения и исправление оповещений

Кнопки "Объяснить и исправить " попросите Copilot агента в сеансе выполнить действия с выбранными code scanning оповещениями:

  • Объясните агенту, чтобы объяснить оповещения, чтобы вы могли понять уязвимости перед решением об их устранении.
  • Исправление просит агента изменить код для решения оповещений.
  1. Чтобы работать с одним оповещением, щелкните его, чтобы открыть сведения или наведите указатель мыши на него в списке результатов, чтобы отобразить кнопки "Объяснить и исправить ". Чтобы работать с несколькими оповещениями, установите флажки рядом с ними.
  2. Нажмите кнопку "Объяснить " или "Исправить ".
  3. Просмотрите ответ агента в сеансе. Если вы запросили исправление, просмотрите дифф и запустите соответствующие тесты для проекта.
  4. Продолжайте беседу, чтобы настроить исправление по мере необходимости.

При нажатии кнопки **"Исправить"**Copilot измените только локальную рабочую копию. Он не фиксирует изменения, отправляет их или открывает запрос на вытягивание. Если вы удовлетворены изменениями, зафиксируйте и отправьте их через обычный процесс проверки.

Локальное исправление не закрывает оповещение code scanning . После того как исправление достигнет затронутой ветви и code scanning снова запускается, определяет, разрешено ли оповещение. См . раздел AUTOTITLE.

Вы также можете спросить Copilot о ваших оповещениях непосредственно в чате. Рассмотрим пример.

Copilot prompt
Explain the highest-severity open code scanning alert in this
repository and suggest how I could fix it. Do not change any files.

Средства расширения безопасности следуют параметрам разрешений средства приложения. Когда требуется утверждение, Copilot перед их использованием запрашивает то же самое, что и другие средства.

Отключение оповещений

Закройте оповещение, если вы определили, что его не нужно исправить, например, потому что это ложное срабатывание. Вам нужно разрешение на увольнение code scanning оповещений в репозитории.

В отличие от локального исправления кода, отмена обновления GitHubоповещений в ней.

  1. Щелкните в верхней части страницы сведений о оповещении или в списке результатов наведите указатель мыши на строку оповещения и щелкните тот же значок.
  2. Нажмите кнопку "Закрыть".
  3. Выберите причину и добавьте комментарий, объясняющий ваше решение.
  4. Нажмите кнопку "Закрыть поиск " или , если требуется утверждение, отправьте запрос.

Если делегированное увольнение оповещений требует утверждения для роли в репозитории, расширение отправляет запрос на увольнение вместо закрытия оповещения. Оповещение остается открытым до тех пор, пока авторизованный рецензент не утвердит запрос. Запросы на увольнение проверяются GitHubне в расширении.

Проверка локальных изменений для новых уязвимостей

На холсте безопасности для сеанса можно попросить Copilot агента проверить текущие изменения сеанса перед открытием запроса на вытягивание. Вы также можете начать проверку с помощью команды косой /security-review черты. Это сосредоточенный обзор изменений, а не полный аудит безопасности репозитория или замена code scanning.

  1. Откройте активный сеанс с изменениями кода во время выполнения.
  2. Если холст безопасности еще не открыт, щелкните ,наведите указатель мыши на холст, а затем нажмите кнопку "Безопасность".
  3. На домашней странице холста безопасности расширения в разделе "Проверка безопасности" нажмите кнопку "Пуск проверки". Кроме того, в поле запроса сеанса введите /security-review и нажмите клавишу ВВОД.
  4. Просмотрите локальные результаты на холсте. Выберите результаты, а затем нажмите кнопку "Объяснить " или "Исправить ", чтобы попросить агента объяснить результаты или изменить код для их устранения.
  5. После изменения кода запустите проверку еще раз. Холст указывает, когда код изменился с момента последнего просмотра.

Чтобы вернуться к результатам предыдущей локальной проверки, щелкните "Последняя проверка " на домашней странице холста безопасности расширения.

Результаты локальной проверки отличаются от code scanning оповещений GitHub. Запуск локальной проверки не включает code scanning.

Использование ИИ

При нажатии кнопки "Объяснить или исправить " или запустить проверку Copilot безопасности агент использует модель, выбранную в приложении, и использует AI credits такие запросы, как другие запросы. Просмотр и закрытие оповещений на холсте не используют ИИ.