Display vulnerabilities that are ignored in pull requests
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 5/5
- Tempo stimato
- Più di una settimana
- Idoneità per principianti
- 20/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Da chiarire
- Stato di attività
- Ferma
- Stack tecnologico
- github-actions
- Ambito
- security
Direzione di ricerca
La richiesta riguarda i risultati SARIF caricati per gli eventi pull request e push, insieme ai findings ignorati nella code-scanning UI. Non vengono indicati file o test; determina innanzitutto se questi comportamenti appartengono a codeql-action o al servizio di code scanning di GitHub. Il lavoro sarebbe completo quando includesse una scelta per l’ignoramento che conservi i findings per il branch predefinito e un modo per cercare i risultati eliminati in precedenza.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
I have an action that I'd like to work on both pull requests and push events.
The SARIF is uploaded in both cases. When results of a pull request scan contain problems, it blocks the PR, which is great. The user is presented with a list of options: "Won't Fix", "false positive", "Unit tests". If they click "Won't Fix", the PR can be merged. However, the results never show up in the default branch's scanning results anymore. I think that's intended.
What I'd like is an additional option to the effect of "Will fix in another pull request" or "Won't fix in this pull request" to inform GitHub that it's fine to ignore the results to merge this PR, but that I intend to fix it later so I want the problem to show up on the default branch's scanning results. This is really important: imagine the problem has low criticality, I may want to allow merging the pull request and live with the vulnerability for a few days. If I cannot find the vulnerability on the dashboard, I will for-ever forget to fix it.
In addition: any results that are discarded ("Won't Fix", etc) are very hard to find in the UI. For example, as a security engineer, I may want to review all previous "Won''t Fix" in a branch. I can search for "is:closed" by branch, but I don't seem to be able to find those marked as "Won't Fix", etc. We all make mistakes, so giving the ability search through past choices is useful.
- Lingua principale
- TypeScript
- Stelle
- 1.6k
- Fork
- 493
- Merge medio
- 1g 13h
- PR unite (30g)
- 44
Guida per i contributori
Apri la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di github/codeql-action
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
github/codeql-action#4052 · 4 commenti ·
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 45/100
github/codeql-action#4078 · 1 commento ·
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100
github/codeql-action#4008 · 9 commenti ·
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 52/100
github/codeql-action#3978 · 4 commenti · 1 reazione ·
-
Difficoltà 3/5 1-2 giorni Idoneità per principianti 48/100
github/codeql-action#3915 · 6 commenti · 3 reazioni ·
Tutte le issue di github/codeql-action
Issue simili
-
enhancement
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
dennys-bd/agent-hive#184 ·
-
Add: hunch Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 74/100
AbdelStark/awesome-typesafe#104 ·
-
ai-observability bug team/ai-observability
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
vicharanashala/fln#563 ·