Gestion des alertes d’analyse du code pour votre référentiel

Affichage des alertes pour un dépôt

Toute personne disposant d’une autorisation de lecture pour un dépôt peut voir les annotations d’code scanning sur les demandes de tirage (pull request). Pour plus d’informations, consultez « Triage des alertes d’analyse du code dans les demandes de tirage (pull request) ».

Vous avez besoin d’une autorisation d’écriture pour voir un récapitulatif de toutes les alertes d’un dépôt sous l’onglet Sécurité.

Par défaut, la page d'alertes code scanning est filtrée pour afficher les alertes pour la branche par défaut du référentiel uniquement.

Dans votre instance GitHub Enterprise Server, accédez à la page principale du dépôt.
Sous le nom du dépôt, cliquez sur Sécurité. Si vous ne voyez pas l’onglet « Sécurité », sélectionnez le menu déroulant et cliquez sur Sécurité.
Dans la barre latérale gauche, cliquez sur Code scanning.
Si vous le souhaitez, utilisez la zone de recherche en texte libre ou les menus déroulants pour filtrer les alertes. Par exemple, vous pouvez filtrer en fonction de l’outil utilisé pour identifier les alertes.
Sous « Code scanning », cliquez sur l’alerte à explorer pour afficher la page de l’alerte détaillée. L’état et les détails présentés sur la page de l’alerte reflètent uniquement l’état de l’alerte sur la branche par défaut du référentiel, même si l’alerte existe sur d’autres branches. Vous pouvez consulter l’état de l’alerte sur les branches autres que la branche par défaut dans la section Branches affectées sur le côté droit de la page de l’alerte. Si une alerte n’existe pas sur la branche par défaut, l’état de l’alerte est « dans la demande de tirage » ou « dans la branche », et il est grisé.
Si l’alerte met en évidence un problème avec le flux de données, vous pouvez cliquer sur Afficher les chemins pour afficher le chemin depuis la source de données vers le récepteur où il est utilisé.
Les alertes de l’analyse CodeQL incluent une description du problème. Cliquez sur Afficher plus pour obtenir des conseils sur la façon de corriger votre code.

Pour plus d’informations, consultez « À propos des alertes d’analyse du code ».

Remarque : Pour l’code scanning avec CodeQL, vous pouvez voir des informations sur la dernière exécution dans un en-tête en haut de la liste des alertes d’code scanning pour le dépôt.

Par exemple, vous pouvez voir quand la dernière analyse a été exécutée, le nombre de lignes de code analysées par rapport au nombre total de lignes de code dans votre dépôt et le nombre total d’alertes générées.

Filtrage des alertes d’code scanning

Vous pouvez filtrer les alertes affichées dans la vue des alertes d’code scanning. Cela est utile s’il existe de nombreuses alertes, car vous pouvez vous concentrer sur un type particulier d’alerte. Vous disposez de filtres prédéfinis et d’un éventail de mots clés pour affiner la liste des alertes affichées.

Lorsque vous sélectionnez un mot clé dans une liste déroulante ou lorsque vous entrez une mot clé dans le champ de recherche, seules les valeurs avec des résultats s’affichent. Vous évitez ainsi plus facilement de définir des filtres qui ne trouvent aucun résultat.

Capture d’écran du champ de recherche dans la vue des alertes d’code scanning. L’utilisateur a tapé « branch:dependabot » dans le champ. Les noms de toutes les branches valides portant un nom incluant « dependabot » sont affichés dans un menu déroulant.

Si vous entrez plusieurs filtres, l’affichage montre les alertes correspondant à tous ces filtres. Par exemple, is:closed severity:high branch:main affiche uniquement les alertes de gravité élevée fermées qui sont présentes sur la branche main. L’exception concerne les filtres relatifs aux références (ref, branch et pr) : is:open branch:main branch:next vous montre les alertes ouvertes à la fois sur la branche main et sur la branche next.

Veuillez noter que si vous avez filtré les alertes sur une branche autre que celle par défaut, mais que les mêmes alertes existent sur la branche par défaut, la page d’une alerte donnée reflétera uniquement l’état de l’alerte sur la branche par défaut, même si cet état est en conflit avec celui d’une branche autre que celle par défaut. Par exemple, une alerte qui apparaît dans la liste « Ouvertes » dans le résumé des alertes de la branch-x peut présenter l’état « Résolue » sur la page de l’alerte, si l’alerte est déjà résolue sur la branche par défaut. Vous pouvez consulter l’état de l’alerte pour la branche filtrée dans la section Branches affectées sur le côté droit de la page de l’alerte.

Vous pouvez préfixer le filtre tag avec - pour exclure les résultats ayant cette étiquette. Par exemple, -tag:style affiche uniquement les alertes qui n’ont pas la balise style.

Restriction des résultats au code d’application uniquement

Vous pouvez utiliser le filtre « Uniquement les alertes dans le code d’application » ou la paire mot clé/valeur autofilter:true pour restreindre les résultats aux alertes dans le code d’application. Pour plus d’informations sur les types de code qui sont automatiquement étiquetés comme n’étant pas du code d’application, consultez « À propos des alertes d’analyse du code ».

Exploration des alertes d’code scanning

Vous pouvez explorer la liste des alertes. Cela est utile s’il existe un grand nombre d’alertes dans votre dépôt ou si vous ne connaissez pas le nom exact d’une alerte, par exemple. GitHub Enterprise Server effectue la recherche en texte libre dans les éléments suivants :

Nom de l'alerte
Détails de l’alerte (comprenant aussi les informations masquées par défaut dans la section réductible Afficher plus)

Recherche prise en charge	Exemple de syntaxe	Résultats
Recherche avec un seul mot	`injection`	Retourne toutes les alertes contenant le mot `injection`
Recherche avec plusieurs mots	`sql injection`	Retourne toutes les alertes contenant `sql` ou `injection`
Recherche de correspondance exacte (utilisez des guillemets doubles)	`"sql injection"`	Retourne toutes les alertes contenant l’expression exacte `sql injection`
Recherche OU	`sql OR injection`	Retourne toutes les alertes contenant `sql` ou `injection`
Recherche ET	`sql AND injection`	Retourne toutes les alertes contenant à la fois les mots `sql` et `injection`

Conseils :

La recherche avec sur plusieurs mots équivaut à une recherche OU.
La recherche ET retourne des résultats dans lesquels les termes de recherche se trouvent n’importe où, dans n’importe quel ordre dans le nom ou les détails de l’alerte.

Dans votre instance GitHub Enterprise Server, accédez à la page principale du dépôt.
Sous le nom du dépôt, cliquez sur Sécurité. Si vous ne voyez pas l’onglet « Sécurité », sélectionnez le menu déroulant et cliquez sur Sécurité.
Dans la barre latérale gauche, cliquez sur Code scanning.
À droite des menus déroulants Filtres, tapez les mots clés à rechercher dans la zone de recherche en texte libre.
Appuyez sur Entrée. La liste des alertes contient les alertes d’code scanning ouvertes correspondant à vos critères de recherche.

Correction d’une alerte

Toute personne disposant d’une autorisation d’écriture pour un dépôt peut corriger une alerte en commitant une correction dans le code. Si le dépôt a une code scanning planifiée pour s’exécuter sur les demandes de tirage (pull request), il est préférable de déclencher une demande de tirage avec votre correction. Cela déclenche une code scanning des modifications et vérifie que votre correctif n’introduit aucun nouveau problème. Pour plus d’informations, consultez « Personnalisation de l’analyse du code » et « Triage des alertes d’analyse du code dans les demandes de tirage (pull request) ».

Si vous disposez d’une autorisation d’écriture pour un dépôt, vous pouvez voir les alertes corrigées en affichant le récapitulatif des alertes et en cliquant sur Fermées. Pour plus d’informations, consultez « Affichage des alertes pour un dépôt ». La liste « Fermées » affiche les alertes corrigées et les alertes que les utilisateurs ont ignorées.

Vous pouvez utiliser la recherche en texte libre ou les filtres pour afficher un sous-ensemble d’alertes, puis marquer toutes les alertes correspondantes comme fermées.

Les alertes peuvent être corrigées dans une branche, mais pas dans une autre. Vous pouvez utiliser le filtre « Branche », dans le récapitulatif des alertes, pour vérifier si une alerte est corrigée dans une branche particulière.

Capture d’écran du champ de recherche dans l’code scanning, avec le menu déroulant « Branche » développé. Le bouton « Branche » est encadré en orange foncé.

Veuillez noter que si vous avez filtré les alertes sur une branche autre que celle par défaut, mais que les mêmes alertes existent sur la branche par défaut, la page d’une alerte donnée reflétera uniquement l’état de l’alerte sur la branche par défaut, même si cet état est en conflit avec celui d’une branche autre que celle par défaut. Par exemple, une alerte qui apparaît dans la liste « Ouvertes » dans le résumé des alertes de la branch-x peut présenter l’état « Résolue » sur la page de l’alerte, si l’alerte est déjà résolue sur la branche par défaut. Vous pouvez consulter l’état de l’alerte pour la branche filtrée dans la section Branches affectées sur le côté droit de la page de l’alerte.

Remarque : Si vous exécutez l’code scanning avec plusieurs configurations, une alerte a parfois plusieurs origines d’analyse. Sauf si vous exécutez régulièrement toutes les configurations, vous pouvez voir des alertes qui sont corrigées dans une origine d’analyse, mais pas dans une autre. Pour plus d’informations, consultez « À propos des alertes d’analyse du code ».

Suppression des alertes

Il existe deux façons de fermer une alerte. Vous pouvez résoudre le problème dans le code ou ignorer l’alerte.

Le rejet d'une alerte est un moyen de fermer une alerte qui, selon vous, ne doit pas être corrigée. Par exemple, dans le cas d’une erreur présente dans du code utilisé uniquement à des fins de test, ou quand l’effort de correction de l’erreur est supérieur à l’avantage potentiel que représente l’amélioration du code. Vous pouvez ignorer des alertes à partir des annotations d’code scanning dans le code ou de la liste récapitulative sous l’onglet Sécurité.

Quand vous ignorez une alerte :

Elle est ignorée dans toutes les branches.
L’alerte est supprimée du nombre d’alertes actuel pour votre projet.
L’alerte est déplacée vers la liste « Fermées » dans le récapitulatif des alertes. Vous pouvez la rouvrir depuis cet endroit, si nécessaire.
La raison pour laquelle vous avez fermé l’alerte est enregistrée.
Si vous le souhaitez, vous pouvez commenter un rejet pour enregistrer le contexte du rejet d’une alerte.
La prochaine fois que l’code scanning s’exécute, le même code ne génère pas d’alerte.

Pour supprimer une alerte :

Dans votre instance GitHub Enterprise Server, accédez à la page principale du dépôt.
Sous le nom du dépôt, cliquez sur Sécurité. Si vous ne voyez pas l’onglet « Sécurité », sélectionnez le menu déroulant et cliquez sur Sécurité.
Dans la barre latérale gauche, cliquez sur Code scanning.
Si vous souhaitez ignorer une alerte, il est important d’explorer l’alerte en premier, afin que vous puissiez choisir la bonne raison de l’ignorer. Cliquez sur l’alerte que vous voulez explorer.
Passez en revue l’alerte, puis cliquez sur Ignorer l’alerte et choisissez, ou entrez, une raison de fermer l’alerte. Il est important de choisir le motif approprié dans le menu déroulant, car cela peut avoir une incidence sur l’inclusion ou non d’une requête dans une analyse future. Si vous le souhaitez, vous pouvez commenter un licenciement pour enregistrer le contexte d’un licenciement d’alerte. Le commentaire sur le licenciement est ajouté à la chronologie des alertes et peut être utilisé comme justification lors de l’audit et de la création de rapports. Vous pouvez récupérer ou définir un commentaire à l’aide de l’API REST d’analyse du code. Le commentaire est contenu dans dismissed_comment pour le point de terminaison alerts/{alert_number}. Pour plus d’informations, consultez « Points de terminaison d’API REST pour l’analyse de codes ».

Si vous ignorez une alerte CodeQL que vous considérez comme un résultat faux positif, par exemple parce que le code utilise une bibliothèque d’assainissement qui n’est pas prise en charge, envisagez de contribuer au dépôt CodeQL et d’améliorer l’analyse. Pour plus d’informations sur CodeQL, consultez « Contribution à CodeQL ».

Ignorer plusieurs alertes à la fois

Si un projet a plusieurs alertes que vous souhaitez ignorer pour la même raison, vous pouvez les ignorer en bloc à partir du récapitulatif des alertes. En règle générale, vous souhaitez filtrer la liste, puis ignorer toutes les alertes correspondantes. Par exemple, vous souhaiterez peut-être ignorer toutes les alertes actuelles dans le projet qui ont été marquées pour une vulnérabilité CWE (Common Weakness Enumeration) particulière.

Rouvrir les alertes ignorées

Si vous ignorez une alerte, mais que vous devez y revenir ultérieurement, vous pouvez la rouvrir et résoudre le problème avec le code. Affichez la liste des alertes fermées, recherchez l’alerte, affichez-la et rouvrez-la. Vous pouvez ensuite corriger le problème de la même façon qu’avec n’importe quelle autre alerte.

Audit des réponses aux alertes d’code scanning

Vous pouvez auditer les actions effectuées en réponse aux alertes code scanning à l’aide des outils GitHub. Pour plus d’informations, consultez « Audit des alertes de sécurité ».