Alibaba Cloud DevOps:Use code detection

Etapa 1: Crie uma estratégia de detecção

1. Faça logon na página inicial do Codeup. No painel de navegação à esquerda, escolha .

   

2. Configure a estratégia de detecção.

   A plataforma oferece várias estratégias integradas. Copie uma estratégia existente ou crie uma nova que atenda às suas necessidades.

   1. Estratégia integrada

      Copie uma estratégia integrada ou crie sua própria estratégia conforme necessário.

      Na lista à esquerda, selecione uma estratégia integrada (por exemplo, Python recommended detection strategy). Clique em Copy/edit strategy no canto superior direito para copiar e personalizar a estratégia ou clique no botão Copy strategy para copiá-la rapidamente. Você também pode clicar em Add rule para adicionar um novo pacote de regras à estratégia.

   2. Copiar uma estratégia

      Selecione uma estratégia de detecção recomendada para copiar. Na caixa de diálogo Add detection strategy, selecione Copy an existing strategy, insira um Strategy name e uma Strategy description, escolha a estratégia de destino na lista suspensa Select strategy e clique em OK.

   3. Crie uma nova estratégia de detecção. Na caixa de diálogo Add detection strategy, selecione Create a new strategy e insira um Strategy name e uma Strategy description. Na área Add rule package, selecione uma linguagem (por exemplo, TypeScript, Node.js, Python, Go, C/C++ ou Lua). Em seguida, clique em Add rule package, escolha os pacotes de regras necessários na lista correspondente à linguagem e clique em OK.

Etapa 2: Ajustar o conteúdo da estratégia

Após selecionar uma estratégia de detecção, ajuste suas regras e configurações conforme necessário.

1. Ajuste o conteúdo da regra de detecção.

   Edite o nível de severidade de cada regra. Algumas regras também permitem personalizar parâmetros de detecção, como o uso de expressões regulares para limitar o escopo. Desative regras inadequadas ou reative-as quando necessário.

   Aviso

   Desativar uma regra gera os seguintes efeitos:

   • O sistema fecha automaticamente os problemas encontrados pela regra após a próxima execução da detecção.

   • A regra não é executada durante a execução da estratégia de detecção atual.

   Por exemplo, clique em uma regra para abrir a caixa de diálogo de edição. Ajuste o nível na lista suspensa Severity level (crítico, aviso ou sugestão) ou configure parâmetros personalizados de expressão regular nos detalhes da regra.

2. Associe a estratégia de detecção a uma tarefa de detecção. Na página de detalhes da estratégia de detecção, acesse a aba Associated code. Se nenhuma tarefa de detecção estiver associada, clique no botão Create detection task para associar uma.

   Crie uma nova tarefa de detecção. Na caixa de diálogo Create detection task, selecione um Code source type (por exemplo, Codeup), escolha um code repository e uma detection strategy, selecione um Trigger method (por exemplo, on commit ou on merge request) e clique em Create and execute.

3. Todas as alterações na estratégia de detecção ficam registradas no histórico de alterações da estratégia.

4. Ajuste as configurações da estratégia de detecção.

   Na página Settings do plano, altere o nome do plano, insira uma descrição, configure a lista de permissões de arquivos para detecção e clique em Save.

   O sistema ignora automaticamente arquivos em caminhos incluídos na lista de permissões durante a detecção.

   Importante

   Antes de excluir uma estratégia, certifique-se de que ela não esteja associada a nenhuma tarefa de detecção. Caso esteja, desassocie-a das tarefas de detecção primeiro para evitar impactos nas tarefas em execução.

Etapa 3: Associar uma estratégia a um repositório de código

Ao associar uma estratégia a um repositório de código, ela se torna uma tarefa de detecção executável. É possível criar no máximo uma tarefa de detecção por repositório de código. Essa tarefa pode ser executada várias vezes em branches diferentes.

1. Acesse e clique em Create detection task. Na página Detection tasks, visualize o status de execução e as estatísticas de detecção das tarefas existentes.

2. Escolha uma configuração adequada para a tarefa de detecção. Na lista suspensa Detection strategy, selecione uma estratégia integrada (como Java recommended detection strategy ou Python recommended detection strategy) ou uma estratégia personalizada.

3. Além de acionamentos manuais, configure acionamentos automáticos para uma tarefa de detecção, incluindo acionamentos por commit e por merge request. Ao selecionar um acionamento por commit, especifique as branches a serem monitoradas; há suporte para expressões regulares. Se optar por um acionamento por merge request, qualquer merge request no repositório dispara uma varredura das alterações de código entre a branch de origem e a branch de destino.

Etapa 4: Visualize resultados da detecção

• Visualize os resultados na tarefa de detecção.

  Acesse a tarefa de detecção, selecione Overview e visualize os resultados da última detecção completa bem-sucedida e a lista de problemas da branch atual.

  • A aba Overview contém:

    • Resultado da detecção: Status de aprovação/reprovação, número correspondente de problemas e limiar do quality gate.

    • Visão geral dos problemas: Quantidade de problemas não resolvidos e resolvidos.

    • Distribuição por severidade: Distribuição de problemas críticos, avisos e sugestões.

    • Distribuição por tipo: Distribuição de problemas de segurança e padrões de codificação.

    • Distribuição por colaborador: Número de problemas de vários tipos introduzidos por diferentes usuários.

    • Regras com mais problemas críticos: Classificação das regras que acionaram o maior número de problemas críticos.

    • Tendência de problemas: Tendência de problemas pendentes para cada nível de severidade.

  • Lista de problemas

    A lista de problemas é classificada por nível de severidade e status de resolução. Clique em uma linha de problema para visualizar seus detalhes. Ignore um problema para evitar que ele seja relatado novamente nessa branch.

  • Histórico de execuções

    O serviço de detecção de código é executado no pipeline do Flow. Se uma execução de detecção falhar, clique em View run log na página para acessar o Flow e visualizar o log de erros para solucionar o problema.

    Se a última execução da detecção falhou, a página de detalhes da tarefa de detecção mantém os resultados da última execução bem-sucedida e exibe um alerta com o horário da falha. Acesse o log de execução para investigar e resolver o problema.

• Visualize os resultados da detecção em commits do repositório de código e merge requests.

  • Resultados da detecção de commits

    Nas visualizações de commit e branch, se um commit específico tiver resultados de detecção de código, visualize-os rapidamente em um cartão na lista. Clique no cartão para ver os detalhes do problema.

  • Resultados da detecção de merge requests

    Se um acionamento por merge request for selecionado, veja os resultados da varredura automatizada na lista de merge requests e na seção de condições de mesclagem dos detalhes da mesclagem.

    Após a conclusão da execução, clique em View Details para ver os problemas detectados na visualização de alterações de arquivo do merge request atual. Clique em um problema para ir diretamente à linha de código correspondente.

FAQ

1. Defina um ponto de verificação de merge request

O serviço de detecção de código auxilia na revisão de código. Ele reduz o custo de revisões manuais ao varrer automaticamente problemas de padrões de codificação e vulnerabilidades de segurança, destacando-os.

Em um merge request, além da revisão manual, configure a detecção de código como um ponto de verificação antes de mesclar o código. Se a varredura não passar pelo quality gate configurado, os usuários não poderão mesclar o código. Isso impede que códigos fora dos padrões de qualidade sejam mesclados na branch de produção.

Etapa 1: Defina o limiar do quality gate

Primeiro, defina o limiar desejado para o quality gate do ponto de verificação.

Na tarefa de detecção do repositório atual, encontre as configurações de quality gate para merge requests. Por padrão, nenhum problema crítico é permitido e não há limite para problemas de aviso ou sugestão. Modifique essas configurações com base nos requisitos do seu negócio.

Etapa 2: Configure o ponto de verificação da branch protegida

Em seguida, clique em "Go to set up merge request checkpoint" ou acesse Repository settings > Branch settings > Protected branch rules.

Crie uma nova regra de branch protegida para a branch que deseja proteger, selecione o nome da branch, ative 'Require automated checks to pass before merging' nas configurações da regra e selecione a tarefa de detecção de código.

Lidando com uma tarefa de detecção de ponto de verificação excluída

Se uma tarefa de detecção foi definida como ponto de verificação, o ponto de verificação de merge request permanece ativo mesmo que a tarefa seja excluída manualmente. Isso evita que código não verificado seja mesclado em uma branch protegida.

Nesse caso, o ponto de verificação da tarefa antiga e excluída mostrará um status 'Failed'. Um administrador deve criar uma nova tarefa de detecção no repositório atual. A nova tarefa substitui automaticamente a antiga e se torna o ponto de verificação ativo de merge request.

2. Calcular o consumo de recursos

As varreduras usam recursos de pipeline do Flow, que determinam o número de execuções simultâneas e o tempo de execução. Execute varreduras dentro da sua cota de recursos de pipeline. Se o uso exceder a cota, ative o faturamento de pagamento conforme o uso para obter mais recursos de pipeline.

Visualize os detalhes do seu consumo de recursos do mês atual em Resources, no canto inferior esquerdo da página Alibaba Cloud DevOps Pipeline Flow.

3. Desativar a detecção de código

Ao excluir uma tarefa de detecção de um repositório de código, o sistema também exclui automaticamente seu pipeline de sistema associado.

Na página de detalhes da tarefa de detecção, clique em Task Settings e depois clique em Delete na área Delete Task na parte inferior da aba Basic Information.