Résolution des alertes d’analyse du code

Génération de suggestions de corrections pour les alertes code scanning

GitHub Copilot Autofix peut générer des correctifs pour les alertes identifiées par des analyses code scanning. La plupart des types d’alertes CodeQL sont pris en charge et également certaines alertes provenant d’outils tiers. Pour plus d’informations, consultez « Utilisation responsable de Copilot Autofix pour l’analyse du code ».

1. Sur GitHub, accédez à la page principale du référentiel.
2. Sous le nom du dépôt, cliquez sur Sécurité. Si vous ne voyez pas l’onglet « Sécurité », sélectionnez le menu déroulant et cliquez sur Sécurité.
   
3. Dans la barre latérale gauche, cliquez sur Code scanning.
4. Cliquez sur le nom d’une alerte.
5. Si Copilot Autofix peut suggérer une correction, en haut de la page, cliquez sur Generate fix.
6. Une fois que la correction suggérée a été générée, en bas de la page, vous pouvez cliquer sur Create PR with fix pour générer automatiquement une pull request avec la correction suggérée. Une nouvelle branche est créée à partir de la branche par défaut, le correctif généré est validé et un brouillon de demande de tirage est créé. Vous pouvez tester et modifier le correctif suggéré comme vous le feriez avec n’importe quel autre correctif.

Pour plus d’informations sur les limitations des correctifs générés automatiquement, consultez « Limitations des suggestions »

Correction d’une alerte

Toute personne disposant d’une autorisation d’écriture pour un dépôt peut corriger une alerte en commitant une correction dans le code. Si le dépôt a une code scanning planifiée pour s’exécuter sur les demandes de tirage (pull request), il est préférable de déclencher une demande de tirage avec votre correction. Cela déclenche une code scanning des modifications et vérifie que votre correctif n’introduit aucun nouveau problème. Pour plus d’informations, consultez « Triage des alertes d’analyse du code dans les demandes de tirage (pull request) ».

Vous pouvez utiliser la recherche en texte libre ou les filtres pour afficher un sous-ensemble d’alertes, puis marquer toutes les alertes correspondantes comme fermées.

Les alertes peuvent être corrigées dans une branche, mais pas dans une autre. Vous pouvez utiliser le filtre « Branche », dans le récapitulatif des alertes, pour vérifier si une alerte est corrigée dans une branche particulière.

Veuillez noter que si vous avez filtré les alertes sur une branche autre que celle par défaut, mais que les mêmes alertes existent sur la branche par défaut, la page d’une alerte donnée reflétera uniquement l’état de l’alerte sur la branche par défaut, même si cet état est en conflit avec celui d’une branche autre que celle par défaut. Par exemple, une alerte qui apparaît dans la liste « Ouvertes » dans le résumé des alertes de la branch-x peut présenter l’état « Résolue » sur la page de l’alerte, si l’alerte est déjà résolue sur la branche par défaut. Vous pouvez consulter l’état de l’alerte pour la branche filtrée dans la section Branches affectées sur le côté droit de la page de l’alerte.

Suppression des alertes

Il existe deux façons de fermer une alerte. Vous pouvez résoudre le problème dans le code ou ignorer l’alerte.

Le rejet d'une alerte est un moyen de fermer une alerte qui, selon vous, ne doit pas être corrigée. Par exemple, dans le cas d’une erreur présente dans du code utilisé uniquement à des fins de test, ou quand l’effort de correction de l’erreur est supérieur à l’avantage potentiel que représente l’amélioration du code. Vous pouvez ignorer des alertes à partir des annotations d’code scanning dans le code ou de la liste récapitulative sous l’onglet Sécurité.

Quand vous ignorez une alerte :

• Elle est ignorée dans toutes les branches.
• L’alerte est supprimée du nombre d’alertes actuel pour votre projet.
• L’alerte est déplacée vers la liste « Fermées » dans le récapitulatif des alertes. Vous pouvez la rouvrir depuis cet endroit, si nécessaire.
• La raison pour laquelle vous avez fermé l’alerte est enregistrée.
• Si vous le souhaitez, vous pouvez commenter un rejet pour enregistrer le contexte du rejet d’une alerte.
• La prochaine fois que l’code scanning s’exécute, le même code ne génère pas d’alerte.

Pour supprimer une alerte :

1. Sur GitHub, accédez à la page principale du référentiel.

2. Sous le nom du dépôt, cliquez sur Sécurité. Si vous ne voyez pas l’onglet « Sécurité », sélectionnez le menu déroulant et cliquez sur Sécurité.

   

3. Dans la barre latérale gauche, cliquez sur Code scanning.

4. Si vous souhaitez ignorer une alerte, il est important d’explorer l’alerte en premier, afin que vous puissiez choisir la bonne raison de l’ignorer. Cliquez sur l’alerte que vous voulez explorer.

5. Passez en revue l’alerte, puis cliquez sur Ignorer l’alerte et choisissez, ou entrez, une raison de fermer l’alerte.

   
   Il est important de choisir le motif approprié dans le menu déroulant, car cela peut avoir une incidence sur l’inclusion ou non d’une requête dans une analyse future. Si vous le souhaitez, vous pouvez commenter un rejet pour enregistrer le contexte du rejet d’une alerte. Le commentaire sur le licenciement est ajouté à la chronologie des alertes et peut être utilisé comme justification lors de l’audit et de la création de rapports. Vous pouvez récupérer ou définir un commentaire à l’aide de l’API REST d’analyse du code. Le commentaire est contenu dans dismissed_comment pour le point de terminaison alerts/{alert_number}. Pour plus d’informations, consultez « Points de terminaison d’API REST pour l’analyse de codes ».

   Si vous ignorez une alerte CodeQL que vous considérez comme un résultat faux positif, par exemple parce que le code utilise une bibliothèque d’assainissement qui n’est pas prise en charge, envisagez de contribuer au dépôt CodeQL et d’améliorer l’analyse. Pour plus d’informations sur CodeQL, consultez « Contribution à CodeQL ».

Ignorer plusieurs alertes à la fois

Si un projet a plusieurs alertes que vous souhaitez ignorer pour la même raison, vous pouvez les ignorer en bloc à partir du récapitulatif des alertes. En règle générale, vous souhaitez filtrer la liste, puis ignorer toutes les alertes correspondantes. Par exemple, vous souhaiterez peut-être ignorer toutes les alertes actuelles dans le projet qui ont été marquées pour une vulnérabilité CWE (Common Weakness Enumeration) particulière.

Rouvrir les alertes ignorées

Si vous ignorez une alerte, mais que vous devez y revenir ultérieurement, vous pouvez la rouvrir et résoudre le problème avec le code. Affichez la liste des alertes fermées, recherchez l’alerte, affichez-la et rouvrez-la. Vous pouvez ensuite corriger le problème de la même façon qu’avec n’importe quelle autre alerte.

Suppression des configurations et des alertes obsolètes d’une branche

Vous pouvez avoir plusieurs configurations d’analyse de code sur un seul dépôt. Lors de l’exécution, plusieurs configurations peuvent générer la même alerte. De plus, si les configurations sont exécutées selon des planifications différentes, les états d’alerte peuvent devenir obsolètes pour les configurations peu fréquentes ou obsolètes. Pour plus d’informations sur les alertes de plusieurs configurations, consultez « À propos des alertes d’analyse du code ».

1. Sur GitHub, accédez à la page principale du référentiel.

2. Sous le nom du dépôt, cliquez sur Sécurité. Si vous ne voyez pas l’onglet « Sécurité », sélectionnez le menu déroulant et cliquez sur Sécurité.

   

3. Dans la barre latérale gauche, cliquez sur Code scanning.

4. Sous « Code scanning », cliquez sur une alerte code scanning.

5. Dans la section « Branches affectées » de la barre latérale, cliquez sur la branche souhaitée.

6. Dans la boîte de dialogue « Analyse des configurations », passez en revue les détails des configurations qui ont signalé cette alerte sur la branche sélectionnée. Pour supprimer une configuration indésirable pour la branche souhaitée, cliquez sur .

   Si vous supprimez une configuration par erreur, cliquez sur Annuler pour éviter d’appliquer vos modifications.

   

7. Une fois que vous avez supprimé les configurations indésirables et confirmé que les configurations attendues s’affichent, cliquez sur Enregistrer les modifications.

   Si vous enregistrez vos modifications après la suppression accidentelle d’une configuration, réexécutez la configuration pour mettre à jour l’alerte. Pour plus d’informations sur la réexécution des configurations qui utilisent GitHub Actions, consultez « Ré-exécution de workflows et de travaux ».

Pour aller plus loin

• « Triage des alertes d’analyse du code dans les demandes de tirage (pull request) »
• « Définition de la configuration par défaut pour l’analyse du code »
• « À propos de l’intégration à l’analyse du code »