NoxarixКак читать отчёт проверки безопасности открытого репозитория
Разберите проверки кода, зависимостей, секретов и инфраструктуры, отличайте предупреждение от эксплуатации и выбирайте исправления по доказательствам.
Уточните условия и приватность отчёта
Noxarix принимает URL открытых репозиториев; приватные репозитории не поддерживаются. Нужны вход и настроенный сервер, результат сохраняется как личный отчёт. Отправляйте только свой репозиторий или объект, который разрешено проверять. Зафиксируйте ревизию: ветка по умолчанию может измениться между запусками, а результаты разных ревизий требуют осторожного сравнения.
Разделяйте доступные движки
Проверка репозитория может изучать шаблоны кода, известные проблемы зависимостей, секреты, контейнеры и инфраструктуру как код с помощью включённых движков. Доступность зависит от настроек сервера и содержимого проекта. Начните с покрытия: пропущенный или завершившийся с ошибкой движок не означает отсутствия риска. Проверка исходников не воспроизводит авторизованные запросы опубликованного приложения.
Разберите предупреждение о зависимости
Изучите пакет, установленную версию, уязвимый диапазон и рекомендации обновления. Известная проблема в пакете не доказывает возможность эксплуатации в вашем приложении. Уточните, используется ли пакет в production, достижима ли затронутая функция и есть ли совместимая исправленная версия. Не применяйте принудительно все крупные обновления: изучите изменения и протестируйте приложение.
Проверьте контекст кода и инфраструктуры
По пути к файлу и объяснению правила изучите окружающий код. Предупреждение по шаблону требует понимания валидации, авторизации и пути данных. Замечание к контейнеру или инфраструктуре иногда требует изменения развёртывания, а не исходника. Если ключ попал в историю git, сначала отзовите его. Не копируйте секрет в публичную задачу об исправлении.
Подтвердите исправление на новой ревизии
Внесите точечное исправление, выполните проверки проекта и повторите сканирование открытого репозитория. Сравнивайте ревизии и покрытие вместе с числом проблем. Уменьшение числа предупреждений ничего не доказывает, если перестал работать движок. Дополните проверку сканированием своего сайта и ручными тестами прав, злоупотребления сценариями и бизнес-логики. Автоматическая проверка не гарантирует безопасность.