Ao aprender a codificar, é normal introduzir inadvertidamente vulnerabilidades em seus projetos. Se esses issues de segurança não forem resolvidos antes de compartilhar seu trabalho, os invasores poderão usá-los para manipular seu código e acessar dados confidenciais, assim, é fundamental identificá-los e corrigi-los o quanto antes.
Felizmente, há ferramentas como code scanning que encontram, explicam e até corrigem vulnerabilidades automaticamente em seus repositórios públicos. Neste tutorial, você aprenderá a manter seu trabalho seguro com code scanning.
Como configurar o repositório de demonstração
Vamos começar bifurcando um projeto de demonstração com uma vulnerabilidade de segurança. Esse projeto cria uma página da Web simples, porém, como não implantaremos o projeto, não há nenhum risco de segurança neste exercício.
- Navegue até o repositório
new2code/code-scanning-demo. - No canto superior direito da página, clique Fork.
- Na página exibida, clique em Create fork.
Como localizar vulnerabilidades no código
Agora que configuramos o projeto, vamos ativar code scanning em seu fork para verificar se há vulnerabilidades no código.
- De volta em GitHub, na página inicial do seu repositório, clique Security and quality.
- Na linha "Code scanning alertas", clique em Configurar code scanning.
- Na seção "Ferramentas", ao lado de "CodeQL análise", selecione Configurar e clique em Padrão.
- No pop-up exibido, clique em Habilitar CodeQL. Isso disparará um GitHub Actions fluxo de trabalho que examina seu código em busca de vulnerabilidades.
- Para verificar o status do fluxo de trabalho, na barra de navegação, clique em Ações.
- Depois que o fluxo de trabalho for concluído, na barra de navegação, clique em Security and quality.
- Para exibir o code scanning alerta descoberto pelo fluxo de trabalho, na navegação lateral, clique Code scanning e clique em Scripts entre sites refletidos.
Noções básicas sobre um code scanning alerta
Agora que code scanning identificou uma vulnerabilidade no código, vamos dividir as informações fornecidas no alerta.
Localidade
O alerta mostra uma pequena visualização de um arquivo, centralizada nas linhas de código que criam a vulnerabilidade. Em nosso caso, a vulnerabilidade é detectada na linha 8 do nosso arquivo index.js, em que implementamos a entrada fornecida pelo usuário em nosso site.
Se dermos uma olhada mais de perto, poderemos ver que o issue subjacente ocorre na linha 7, quando atribuímos greet à entrada do usuário sem verificar se há código mal-intencionado. Para ver uma exibição passo a passo da vulnerabilidade em nosso código, no texto explicativo abaixo das linhas vulneráveis, clique em Mostrar caminhos.
Descrição e recomendação
Abaixo da visualização do arquivo, code scanning fornece uma descrição mais detalhada da vulnerabilidade. Para ver a correção recomendada, bem como exemplos do código vulnerável e fixo, clique em Mostrar mais.
Em nosso caso, a recomendação é limpar a entrada do usuário antes de usá-la. Isso significa que precisamos verificar a entrada de código mal-intencionado e limpá-lo, se necessário.
Dica
Se você não entender completamente a correção recomendada, tente pedir Chat Copilot para explicá-la.
Linha do tempo
Por fim, você pode ver a linha do tempo do alerta na parte inferior da página. Nossa linha do tempo contém a confirmação do local em que a vulnerabilidade foi detectada pela primeira vez e será atualizada automaticamente quando corrigirmos a vulnerabilidade.
Como corrigir uma vulnerabilidade automaticamente
Para proteger nosso projeto de forma rápida e fácil, vamos usar Correção Automática do GitHub Copilot para code scanning.
-
Abaixo do título do alerta, na caixa que sugere "Acelere a resolução deste alerta usando Autofixo do Copilot para CodeQL", clique em Gerar correção.
-
Depois que Copilot gerar a sugestão de correção, ela descreverá as alterações que está sugerindo, mostrará uma prévia das alterações e informará sobre quaisquer dependências adicionadas. Tire um momento para ler o trabalho de Copilot.
-
Para criar um pull request com a correção, clique em Commit to new branch e, em seguida, clique em Commit change.
-
Depois que a pull request de rascunho for criada, na parte inferior da página, clique em Ready for review para torná-la mesclável.
-
Para aplicar a correção, clique em Merge pull requeste clique em Confirm merge.
Depois que a solicitação de pull for mesclada e o code scanning fluxo de trabalho for executado novamente, o alerta será fechado automaticamente e a confirmação de correção da vulnerabilidade será adicionada à linha do tempo.
Observação
Em projetos reais, você sempre deve examinar as alterações sugeridas por Copilot antes de confirmá-las ao seu código.
Próximas etapas
Agora que você testou o code scanning em um repositório de demonstração, habilite-o em seus próprios projetos para localizar e corrigir rapidamente as vulnerabilidades atuais e futuras.
Agora que você protegeu o código que escreveu, dê o próximo passo em direção ao código seguro verificando a segurança de suas dependências. Confira Como localizar e corrigir sua primeira vulnerabilidade de dependência.