Skip to main content

Clasificar las alertas del escaneo de código en las solicitudes de cambios

Cuando el code scanning identifica un problema en una solicitud de extracción, puedes revisar el código que se ha resaltado y resolver la alerta.

Who can use this feature

If you have read permission for a repository, you can see annotations on pull requests. With write permission, you can see detailed information and resolve code scanning alerts for that repository.

Code scanning está disponible para todos los repositorios públicos en GitHub.com. Code scanning también está disponible para los repositorios privados que pertenecen a las organizaciones que usan GitHub Enterprise Cloud y que tienen una licencia de GitHub Advanced Security. Para más información, consulte "Acerca de GitHub Advanced Security".

Acerca de los resultados del code scanning en las solicitudes de cambios

En los repositorios donde se configura el code scanning como una verificación de solicitudes de cambios, code scanning verificará el código en dicha solicitud. Predeterminadamente, esto se limita a solicitudes de cambios que apuntan a la rama predeterminada, pero puedes cambiar esta configuración dentro de GitHub Actions o en un sistema de IC/EC de terceros. Si el resultado de combinar los cambios puede introducir alertas nuevas de code scanning en la rama de destino, las alertas se notificarán en varios lugares.

  • Comprueba los resultados en la solicitud de incorporación de cambios.
  • Pestaña Conversación de la solicitud de incorporación de cambios, como parte de una revisión de solicitud de incorporación de cambios.
  • Pestaña Archivos cambiados de la solicitud de incorporación de cambios.

Si tiene permiso de escritura para el repositorio, puede ver cualquier alerta existente de code scanning en la pestaña Security. Para obtener información sobre las alertas del repositorio, consulte "Administración de alertas de code scanning para el repositorio".

En los repositorios en los que está configurado que el code scanning realice un examen cada vez que se inserta código, code scanning también asignará los resultados a cualquier solicitud de incorporación de cambios abierta y agregará las alertas como anotaciones en los mismos lugares que otras comprobaciones de solicitud de incorporación de cambios. Para más información, consulta "Personalización de code scanning".

Si tu solicitud de cambios apunta a una rama protegida que utiliza el code scanning y el propietario del repositorio configuró las verificaciones de estado requeridas, entonces la verificación de los "resultados del Code scanning" debe pasar antes de que puedas fusionar la solicitud de cambios. Para más información, vea "Acerca de las ramas protegidas".

Acerca del code scanning como una verificación de solicitudes de cambio

Hay muchas opciones para configurar el code scanning como una comprobación de solicitudes de cambio, así que la configuración de cada repositorio variará y algunas tendrán más de una comprobación.

Verificación de resultados de Code scanning

En todas las configuraciones de code scanning, la comprobación que contiene los resultados del code scanning es: resultados de Code scanning . Los resultados para cada herramienta de análisis se muestran por separado. Cualquier alerta nueva que ocasionen los cambios en la solicitud de cambios se muestran como anotaciones.

Para ver el conjunto de alertas completo de la rama analizada, haz clic en Ver todas las alertas de rama. Se abre la vista completa de alertas donde puede filtrar todas las alertas de la rama por tipo, gravedad, etiqueta, etc. Para obtener más información, consulte "Administración de alertas de análisis de código para el repositorio".

Comprobación de resultados de Code scanning en una solicitud de incorporación de cambios

Fallos de verificación de resultados de Code scanning

Si en la comprobación de resultados de code scanning se detecta algún problema con una gravedad de error, critical o high, se produce un error en la comprobación y el error se notifica en los resultados. Si todos los resultados que encontró el code scanning tienen gravedades menores, las alertas se tratarán como advertencias o notas y la verificación tendrá éxito.

Verificación fallida del code scanning en una solicitud de cambios

Puedes invalidar el comportamiento predeterminado en la configuración del repositorio. Para ello, especifica los niveles de gravedad y la gravedad de seguridad que causarán un error en la comprobación de la solicitud de incorporación de cambios. Para más información, consulta "Personalización de code scanning".

Otras verificaciones del code scanning

Dependiendo de tu configuración, podrías ver verificaciones adicionales ejecutándose en las solicitudes de cambios con el code scanning configurado. A menudo, estos son flujos de trabajo que analizan el código o que cargan resultados del code scanning. Estas verificaciones son útiles para solucionar problemas cuando el análisis los presenta.

Por ejemplo, si el repositorio utiliza CodeQL analysis workflow, se ejecutará una verificación de CodeQL/Analyze (LANGUAGE) para cada lenguaje antes de que se ejecute la comprobación de resultados. La verificación del análisis podría fallar si existieran problemas de configuración o si la solicitud de cambios impide la compilación para un lenguaje que el análisis necesita compilar (por ejemplo, C/C++, C# o Java).

Al igual que con otras comprobaciones de solicitudes de incorporación de cambios, puedes ver detalles completos del error de comprobación en la pestaña Comprobaciones. Para más información sobre la configuración y la solución de problemas, consulta "Personalización de code scanning" o "Solución de problemas del flujo de trabajo de CodeQL".

Visualizar una alerta en tu solicitud de cambios

Para ver todas las alertas de code scanning introducidas en una solicitud de incorporación de cambios, accede a la pestaña Conversación. Code scanning publica una revisión de solicitud de incorporación de cambios en la que cada alerta se muestra como una anotación en las líneas de código que desencadenaron la alerta. Puedes comentar las alertas, descartarlas y ver sus rutas de acceso directamente en las anotaciones. Para ver los detalles completos de una alerta, haz clic en el vínculo "Mostrar más detalles", lo que te llevará a la página de detalles de la alerta.

Anotación de alerta en una solicitud de cambios en la pestaña Conversación

También puedes ver todas las alertas de code scanning en la pestaña Archivos cambiados de la solicitud de incorporación de cambios. Las alertas de code scanning existentes en un archivo que están fuera de la diferencia de los cambios introducidos en la solicitud de incorporación de cambios solo aparecerán en la pestaña Archivos modificados.

Si tienes permisos de escritura para el repositorio, algunas anotaciones contendrán enlaces con un contexto adicional de la alerta. En el ejemplo anterior del análisis de CodeQL, puede hacer clic en user-provided value para ver dónde se introducen los datos no fiables en el flujo de datos (a esto se le conoce como el origen). En este caso, también puede ver la ruta completa desde el origren hasta el código que utiliza los datos (el receptor) haciendo clic en Show paths. Esto facilita la revisión, ya sea que los datos no sean confiables o que el análisis falle en reconocer un paso de sanitización de datos entre la fuente y el consumidor de datos. Para obtener información sobre cómo analizar el flujo de datos mediante CodeQL, consulte "Acerca del análisis de flujo de datos".

Para ver más información sobre una alerta, los usuarios con permisos de escritura pueden hacer clic en el vínculo Show more details que se muestra en la anotación. Esto te permite ver todo el contexto y los metadatos que proporciona la herramienta en una vista de alertas. En el siguiente ejemplo, puedes ver que las etiquetas muestran la severidad, tipo y las enumeraciones de los puntos débiles comunes (los CWE) del problema. La vista también muestra qué confirmación introdujo el problema.

El estado y los detalles de la página de alertas solo reflejan el estado de la alerta en la rama predeterminada del repositorio, incluso si la alerta existe en otras ramas. Puede ver el estado de la alerta en ramas no predeterminadas en la sección Ramas afectadas del lado derecho de la página de alertas. Si una alerta no existe en la rama predeterminada, el estado de la alerta se mostrará como "en la solicitud de incorporación de cambios" o "en la rama", y tendrá un color gris.

En la vista detallada de una alerta, algunas herramientas de code scanning, como el análisis de CodeQL, también incluyen una descripción del problema y un enlace de Show more para ayudarle a saber cómo corregir el código.

Descripción y vínculo de la alerta para mostrar más información

Realización de comentarios sobre una alerta en una solicitud de incorporación de cambios

Puedes comentar cualquier alerta de code scanning que se hayan introducido debido a los cambios en una solicitud de incorporación de cambios. Las alertas aparecen como anotaciones en la pestaña Conversación de una solicitud de incorporación de cambios, como parte de una revisión de la solicitud de incorporación de cambios, y también se muestran en la pestaña Archivos cambiados. Solo puedes comentar las alertas que se hayan introducido debido a los cambios en una solicitud de incorporación de cambios. Las alertas de code scanning existentes en archivos que están fuera de los cambios introducidos en la solicitud de incorporación de cambios aparecerán en la pestaña Archivos modificados, pero no se podrán comentar.

Puedes optar por establecer que, para que se pueda combinar una solicitud de incorporación de cambios, primero deban resolverse todas las conversaciones de una solicitud de incorporación de cambios, incluidas las conversaciones de las alertas de code scanning. Para más información, vea "Acerca de las ramas protegidas".

Arreglar una alerta en tu solicitud de cambios

Cualquiera con acceso de subida a una solicitud de cambios puede arreglar una alerta del code scanning, la cual se identifique en dicha solicitud. Si confirmas cambios en la solicitud de extracción, esto activará una ejecución nueva de las verificaciones de dicha solicitud. Si tus cambios arreglan el problema, la alerta se cierra y la anotación se elimina.

Descartar una alerta en tu solicitud de cambios

Una forma alterna de cerrar una alerta es descartarla. Puedes descartar una alerta si no crees que necesite arreglarse. Por ejemplo, un error en el código que se utiliza únicamente para hacer pruebas, o cuando el esfuerzo de areglar el error es mayor que el beneficio potencial de mejorar el código. Si tiene permisos de escritura en el repositorio, el botón Dismiss aparece en las anotaciones de código y en el resumen de alertas. Al hacer clic en Dismiss, se le pedirá que elija un motivo para cerrar la alerta.  Captura de pantalla de la alerta de examen de código, con la lista desplegable para seleccionar el motivo del descarte resaltada Es importante elegir la razón adecuada del menú desplegable, ya que esto puede afectar si la consulta continuará incluyéndose en los análisis futuros. Opcionalmente, puedes comentar un descarte para registrar el contexto del descarte de una alerta. El comentario de descarte se agrega a la escala de tiempo de la alerta y se puede usar como justificación durante el proceso de auditoría y creación de informes. Puedes recuperar o establecer un comentario mediante la API REST de examen de código. El comentario se incluye en dismissed_comment para el punto de conexión alerts/{alert_number}. Para obtener más información, consulta "Examen de código".

Si descartas una alerta de CodeQL como consecuencia de un resultado de falso positivo, por ejemplo, porque el código utiliza una biblioteca de sanitización que no es compatible, considera contribuir con el repositorio de CodeQL y mejorar el análisis. Para más información sobre CodeQL, vea "Contribución a CodeQL".

Para obtener más información sobre cómo descartar alertas, consulta "Administración de alertas de code scanning para el repositorio".