Objet sarifLog Objet run Objet toolComponent Objet reportingDescriptor Objet result Objet location Objet physicalLocation Objet logicalLocation Objet fix

Propriétés SARIF prises en charge

Le format d'échange de résultats d'analyse statique (SARIF) est un format de fichier de sortie disponible dans les rapports d'analyse de composition logicielle (SCA) et d'analyse statique sur Amazon. CodeCatalyst L'exemple suivant montre comment configurer manuellement le SARIF dans un rapport d'analyse statique :


Reports:
MySAReport:
Format: SARIFSA
IncludePaths:
    - output/sa_report.json
SuccessCriteria:
    StaticAnalysisFinding:
    Number: 25
    Severity: HIGH

CodeCatalyst prend en charge les propriétés SARIF suivantes qui peuvent être utilisées pour optimiser la façon dont les résultats d'analyse apparaîtront dans vos rapports.

Objet `sarifLog`

Nom	Obligatoire	Description
`$schema`	Oui	L'URI du schéma JSON SARIF pour la version 2.1.0.
`version`	Oui	CodeCatalyst ne prend en charge que la version 2.1.0 de SARIF.
`runs[]`	Oui	Un fichier SARIF contient un tableau d'une ou de plusieurs exécutions, chacune représentant une exécution unique de l'outil d'analyse.

Objet `run`

Nom	Obligatoire	Description
`tool.driver`	Oui	`toolComponent`Objet qui décrit l'outil d'analyse.
`tool.name`	Non	Propriété qui indique le nom de l'outil utilisé pour effectuer l'analyse.
`results[]`	Oui	Les résultats de l'outil d'analyse qui sont affichés sur CodeCatalyst.

Objet `toolComponent`

Nom	Obligatoire	Description
`name`	Oui	Nom de l'outil d'analyse.
`properties.artifactScanned`	Non	Nombre total d'artefacts analysés par l'outil.
`rules[]`	Oui	Tableau d'`reportingDescriptor`objets représentant des règles. Sur la base de ces règles, l'outil d'analyse détecte les problèmes dans le code analysé.

Objet `reportingDescriptor`

Nom	Obligatoire	Description
`id`	Oui	Identifiant unique de la règle utilisée pour référencer un résultat. Longueur maximale : 1 024 caractères
`name`	Non	Le nom d'affichage de la règle. Longueur maximale : 1 024 caractères
`shortDescription.text`	Non	Description abrégée de la règle. Longueur maximale : 3 000 caractères
`fullDescription.text`	Non	Description complète de la règle. Longueur maximale : 3 000 caractères
`helpUri`	Non	Chaîne qui peut être localisée pour contenir l'URI absolu de la documentation principale de la règle. Longueur maximale : 3 000 caractères
`properties.unscore`	Non	Un indicateur qui indique si le résultat du scan a été noté.
`properties.score.severity`	Non	Ensemble fixe de chaînes qui spécifient le niveau de gravité du résultat. Longueur maximale : 1 024 caractères
`properties.cvssv3_baseSeverity`	Non	Évaluation qualitative de la gravité du Common Vulnerability Scoring System v3.1.
`properties.cvssv3_baseScore`	Non	Un score de base CVSS v3 compris entre 0,0 et 10,0.
`properties.cvssv2_severity`	Non	Si les valeurs CVSS v3 ne sont pas disponibles, CodeCatalyst recherche les valeurs CVSS v2.
`properties.cvssv2_score`	Non	Un score de base CVSS v2 compris entre 0,0 et 10,0.
`properties.severity`	Non	Ensemble fixe de chaînes qui spécifient le niveau de gravité du résultat. Longueur maximale : 1 024 caractères
`defaultConfiguration.level`	Non	La sévérité par défaut d'une règle.

Objet `result`

Nom	Obligatoire	Description
`ruleId`	Oui	Identifiant unique de la règle utilisée pour référencer un résultat. Longueur maximale : 1 024 caractères
`ruleIndex`	Oui	Index de la règle associée dans le composant de l'outil`rules[]`.
`message.text`	Oui	Message qui décrit le résultat et affiche le message correspondant à chaque résultat. Longueur maximale : 3 000 caractères
`rank`	Non	Une valeur comprise entre 0,0 et 100,0 inclus qui représente la priorité ou l'importance du résultat. Cette échelle indique 0,0 comme priorité la plus basse et 100,0 comme priorité la plus élevée.
`level`	Non	La sévérité du résultat. Longueur maximale : 1 024 caractères
`properties.unscore`	Non	Un indicateur qui indique si le résultat du scan a été noté.
`properties.score.severity`	Non	Ensemble fixe de chaînes qui spécifient le niveau de gravité du résultat. Longueur maximale : 1 024 caractères
`properties.cvssv3_baseSeverity`	Non	Évaluation qualitative de la gravité du Common Vulnerability Scoring System v3.1.
`properties.cvssv3_baseScore`	Non	Un score de base CVSS v3 compris entre 0,0 et 10,0.
`properties.cvssv2_severity`	Non	Si les valeurs CVSS v3 ne sont pas disponibles, CodeCatalyst recherche les valeurs CVSS v2.
`properties.cvssv2_score`	Non	Un score de base CVSS v2 compris entre 0,0 et 10,0.
`properties.severity`	Non	Ensemble fixe de chaînes qui spécifient le niveau de gravité du résultat. Longueur maximale : 1 024 caractères
`locations[]`	Oui	Ensemble d'emplacements où le résultat a été détecté. Un seul emplacement doit être inclus, sauf si le problème ne peut être résolu qu'en apportant une modification à chaque emplacement spécifié. CodeCatalyst utilise la première valeur du tableau d'emplacements pour annoter le résultat. Nombre maximum d'`location`objets : 10
`relatedLocations[]`	Non	Une liste de références de lieux supplémentaires dans la constatation. Nombre maximum d'`location`objets : 50
`fixes[]`	Non	Tableau d'`fix`objets représentant les recommandations fournies par l'outil de numérisation. CodeCatalyst utilise la première recommandation du `fixes` tableau.

Objet `location`

Nom	Obligatoire	Description
`physicalLocation`	Oui	Identifie l'artefact et la région.
`logicalLocations[]`	Non	Ensemble de lieux décrits par leur nom sans référence à l'artefact.

Objet `physicalLocation`

Nom	Obligatoire	Description
`artifactLocation.uri`	Oui	L'URI indiquant l'emplacement d'un artefact, généralement un fichier dans le référentiel ou généré lors d'une compilation.
`fileLocation.uri`	Non	L'URI de secours indiquant l'emplacement du fichier. Ceci est utilisé si les `artifactLocation.uri` retours sont vides.
`region.startLine`	Oui	Numéro de ligne du premier caractère de la région.
`region.startColumn`	Oui	Numéro de colonne du premier caractère de la région.
`region.endLine`	Oui	Numéro de ligne du dernier caractère de la région.
`region.endColumn`	Oui	Numéro de colonne du dernier caractère de la région.

Objet `logicalLocation`

Nom Obligatoire Description

Nom	Obligatoire	Description
`fullyQualifiedName`	Non	Informations supplémentaires qui décrivent l'emplacement du résultat. Longueur maximale : 1 024 caractères

fullyQualifiedName

Non

Informations supplémentaires qui décrivent l'emplacement du résultat.

Longueur maximale : 1 024 caractères

Objet `fix`

Nom Obligatoire Description

Nom	Obligatoire	Description
`description.text`	Non	Un message qui affiche une recommandation pour chaque résultat. Longueur maximale : 3 000 caractères
`artifactChanges.[0].artifactLocation.uri`	Non	L'URI indiquant l'emplacement de l'artefact qui doit être mis à jour.

description.text

Non

Un message qui affiche une recommandation pour chaque résultat.

Longueur maximale : 3 000 caractères

artifactChanges.[0].artifactLocation.uri

Non

L'URI indiquant l'emplacement de l'artefact qui doit être mis à jour.

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Bonnes pratiques en matière de tests

Déploiement avec des workflows