As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Execute uma varredura de código diferencial com o S3

Execute uma varredura de código diferencial (diff) para analisar somente as linhas alteradas em seu código-fonte, em vez de realizar uma verificação completa do repositório. As varreduras diferenciais são mais rápidas do que as varreduras completas e produzem descobertas direcionadas a alterações de código específicas, tornando-as ideais para validação pré-mesclagem em fluxos de trabalho de desenvolvimento.

Diferentemente da revisão de código baseada em pull request, que é acionada automaticamente por eventos terceirizados do provedor de controle de origem (consulteAnalise as descobertas de segurança do código em pull requests), as varreduras diferenciais são iniciadas programaticamente por meio da API ou do SDK do AWS Security Agent. Você carrega um arquivo diff unificado para o S3 e faz referência a ele ao iniciar um trabalho de revisão de código.

Como funcionam os escaneamentos diferenciais

Uma varredura diferencial analisa suas alterações de código no contexto completo do seu repositório. Quando você cria um recurso de revisão de código com seu código-fonte carregado no S3, a verificação diferencial usa o repositório completo como contexto enquanto concentra as descobertas especificamente nas linhas alteradas em seu diff. Isso permite que a verificação identifique problemas de segurança decorrentes da forma como suas alterações interagem com o código existente, como fluxos de autenticação interrompidos, tratamento inseguro de dados entre módulos ou alterações que expõem vulnerabilidades existentes.

O processo de digitalização:. Você carrega um arquivo diff unificado (a saída degit diff) em um bucket do S3 conectado ao seu Agent Space. Você chama a StartCodeReviewJob API com um diffSource parâmetro apontando para a localização do seu diff no S3. O AWS Security Agent analisa somente o código alterado no diff para verificar as vulnerabilidades de segurança e a conformidade com os requisitos de segurança da sua organização. As descobertas têm como escopo as linhas alteradas, com classificações de severidade, localizações de códigos e orientações de remediação.

Pré-requisitos

Antes de começar, verifique se você tem:

Etapa 1: gerar um arquivo diff

Gere uma comparação unificada que represente as alterações de código que você deseja verificar.

git diff main..feature-branch > changes.diff

Como alternativa, gere uma diferença para mudanças em etapas:

git diff --cached > changes.diff

Etapa 2: faça o upload do diff para o S3

Faça upload do arquivo diff em um bucket do S3 conectado ao seu Espaço do Agente.

aws s3 cp changes.diff s3://my-security-agent-bucket/diffs/changes.diff

Etapa 3: iniciar um trabalho de revisão de código diferencial

Chame a StartCodeReviewJob API com o diffSource parâmetro para iniciar uma verificação diferencial.

Usar o AWS CLI

aws securityagent start-code-review-job \
  --agent-space-id "your-agent-space-id" \
  --code-review-id "your-code-review-id" \
  --diff-source '{"s3Uri": "s3://my-security-agent-bucket/diffs/changes.diff"}'

Usando o AWS SDK (Python)

import boto3

client = boto3.client('securityagent')

response = client.start_code_review_job(
    agentSpaceId='your-agent-space-id',
    codeReviewId='your-code-review-id',
    diffSource={
        's3Uri': 's3://my-security-agent-bucket/diffs/changes.diff'
    }
)

print(f"Job started: {response['codeReviewJobId']}")

Usando o AWS SDK () JavaScript/TypeScript

import { SecurityAgentClient, StartCodeReviewJobCommand } from '@aws-sdk/client-securityagent';

const client = new SecurityAgentClient({ region: 'us-east-1' });

const response = await client.send(new StartCodeReviewJobCommand({
  agentSpaceId: 'your-agent-space-id',
  codeReviewId: 'your-code-review-id',
  diffSource: {
    s3Uri: 's3://my-security-agent-bucket/diffs/changes.diff',
  },
}));

console.log(`Job started: ${response.codeReviewJobId}`);

A API retorna imediatamente com um codeReviewJobId e status deIN_PROGRESS.

Etapa 4: monitorar a digitalização

Pesquise o status do trabalho de revisão de código até que ele seja concluído.

aws securityagent get-code-review-job \
  --agent-space-id "your-agent-space-id" \
  --code-review-id "your-code-review-id" \
  --code-review-job-id "the-job-id"

O trabalho avança nas mesmas fases de uma revisão completa do código: Preflight → Análise estática → Finalização. As varreduras diferenciais geralmente são concluídas mais rapidamente do que as varreduras completas porque analisam menos linhas de código.

Etapa 5: Analisar as descobertas

Depois que o trabalho for concluído, liste as descobertas do trabalho de revisão de código.

aws securityagent list-findings \
  --agent-space-id "your-agent-space-id" \
  --code-review-id "your-code-review-id" \
  --code-review-job-id "the-job-id"

Cada descoberta inclui:

Para obter mais informações sobre como entender e agir de acordo com as descobertas, consulteAnalise os resultados de uma revisão de código.

Cotas e limites

Próximas etapas

Depois de executar uma verificação diferencial: