Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Esegui una scansione del codice differenziale con S3

Esegui una scansione del codice differenziale (diff) per analizzare solo le righe modificate nel codice sorgente, anziché eseguire una scansione completa del repository. Le scansioni differenziali sono più veloci delle scansioni complete e producono risultati mirati a modifiche specifiche del codice, il che le rende ideali per la convalida preliminare all'unione nei flussi di lavoro di sviluppo.

A differenza della revisione del codice basata su pull request, che viene attivata automaticamente dagli eventi dei provider di controllo del codice sorgente di terze parti (vediEsamina i risultati sulla sicurezza del codice nelle richieste pull), le scansioni differenziali vengono avviate a livello di codice tramite l'API o l'SDK di AWS Security Agent. Carichi un file diff unificato su S3 e vi fai riferimento quando inizi un processo di revisione del codice.

Come funzionano le scansioni differenziali

Una scansione differenziale analizza le modifiche al codice nell'intero contesto del repository. Quando crei una risorsa per la revisione del codice con il codice sorgente caricato su S3, la scansione differenziale utilizza l'intero repository come contesto, concentrando i risultati in modo specifico sulle righe modificate nel file diff. Ciò consente alla scansione di identificare i problemi di sicurezza derivanti dal modo in cui le modifiche interagiscono con il codice esistente, come flussi di autenticazione interrotti, gestione non sicura dei dati tra i moduli o modifiche che espongono le vulnerabilità esistenti.

Il processo di scansione:. Carichi un file diff unificato (l'output digit diff) in un bucket S3 collegato al tuo Agent Space. Chiami l'StartCodeReviewJobAPI con un diffSource parametro che punta alla posizione S3 del tuo diff. AWS Security Agent analizza solo il codice modificato nel file diff per verificare le vulnerabilità di sicurezza e la conformità ai requisiti di sicurezza dell'organizzazione. I risultati si riferiscono alle righe modificate, con livelli di gravità, posizioni dei codici e linee guida per la correzione.

Prerequisiti

Prima di iniziare, assicurati di disporre dei seguenti elementi:

Passaggio 1: generare un file diff

Genera un diff unificato che rappresenti le modifiche al codice che desideri scansionare.

git diff main..feature-branch > changes.diff

In alternativa, genera un diff per le modifiche graduali:

git diff --cached > changes.diff

Passaggio 2: carica il file diff su S3

Carica il file diff in un bucket S3 collegato a Agent Space.

aws s3 cp changes.diff s3://my-security-agent-bucket/diffs/changes.diff

Fase 3: Inizia un lavoro di revisione del codice differenziale

Chiama l'StartCodeReviewJobAPI con il diffSource parametro per avviare una scansione differenziale.

Utilizzo della AWS CLI

aws securityagent start-code-review-job \
  --agent-space-id "your-agent-space-id" \
  --code-review-id "your-code-review-id" \
  --diff-source '{"s3Uri": "s3://my-security-agent-bucket/diffs/changes.diff"}'

Utilizzo dell'SDK AWS (Python)

import boto3

client = boto3.client('securityagent')

response = client.start_code_review_job(
    agentSpaceId='your-agent-space-id',
    codeReviewId='your-code-review-id',
    diffSource={
        's3Uri': 's3://my-security-agent-bucket/diffs/changes.diff'
    }
)

print(f"Job started: {response['codeReviewJobId']}")

Utilizzo dell'SDK AWS () JavaScript/TypeScript

import { SecurityAgentClient, StartCodeReviewJobCommand } from '@aws-sdk/client-securityagent';

const client = new SecurityAgentClient({ region: 'us-east-1' });

const response = await client.send(new StartCodeReviewJobCommand({
  agentSpaceId: 'your-agent-space-id',
  codeReviewId: 'your-code-review-id',
  diffSource: {
    s3Uri: 's3://my-security-agent-bucket/diffs/changes.diff',
  },
}));

console.log(`Job started: ${response.codeReviewJobId}`);

L'API ritorna immediatamente con un codeReviewJobId and status ofIN_PROGRESS.

Fase 4: Monitora la scansione

Esamina lo stato del lavoro di revisione del codice fino al suo completamento.

aws securityagent get-code-review-job \
  --agent-space-id "your-agent-space-id" \
  --code-review-id "your-code-review-id" \
  --code-review-job-id "the-job-id"

Il lavoro procede attraverso le stesse fasi di una revisione completa del codice: Preflight → Analisi statica → Finalizzazione. Le scansioni differenziali in genere vengono completate più velocemente delle scansioni complete perché analizzano meno righe di codice.

Fase 5: Esaminare i risultati

Una volta completato il lavoro, elenca i risultati del processo di revisione del codice.

aws securityagent list-findings \
  --agent-space-id "your-agent-space-id" \
  --code-review-id "your-code-review-id" \
  --code-review-job-id "the-job-id"

Ogni risultato include:

Per ulteriori informazioni su come comprendere e agire in base ai risultati, vedereEsamina i risultati di una revisione del codice.

Quote e limiti

Fasi successive

Dopo aver eseguito una scansione differenziale: