{"meta":{"title":"Поиск и исправление первой уязвимости кода","intro":"Изучите основы защиты кода, разрешив оповещение code scanning в демо-репозитории.","product":"Начало работы","breadcrumbs":[{"href":"/ru/get-started","title":"Начало работы"},{"href":"/ru/get-started/learning-to-code","title":"Узнайте, как кодировать"},{"href":"/ru/get-started/learning-to-code/finding-and-fixing-your-first-code-vulnerability","title":"Защита кода"}],"documentType":"article"},"body":"# Поиск и исправление первой уязвимости кода\n\nИзучите основы защиты кода, разрешив оповещение code scanning в демо-репозитории.\n\nПри обучении коду обычно случайно вводить уязвимости в проекты. Если эти проблемы безопасности не устранены перед предоставлением общего доступа к работе, злоумышленники могут использовать их для управления кодом и доступа к конфиденциальным данным, поэтому важно определить и исправить их как можно скорее.\n\nК счастью, существуют такие инструменты code scanning , которые автоматически находят, объясняют и даже исправляют уязвимости в ваших публичных репозиториях. В этом уроке вы научитесь сохранять безопасность своей работы с code scanningпомощью .\n\n## Настройка демонстрационного репозитория\n\nДавайте приступим к работе с вилкой демонстрационного проекта с уязвимостью безопасности. Этот проект создает простую веб-страницу, но так как мы не развернем проект, **в этом упражнении отсутствует риск** безопасности.\n\n1. Перейдите в репозиторий [`new2code/code-scanning-demo`](https://github.com/new2code/code-scanning-demo) .\n2. В правом верхнем углу страницы нажмите **«Форк**».\n3. На появившемся экране нажмите кнопку **\"Создать вилку**\".\n\n## Поиск уязвимостей в коде\n\nТеперь, когда мы настроили проект, давайте включим code scanning форк, чтобы проверить уязвимости в коде.\n\n1. Вернувшись на GitHub, на главной странице вашего репозитория, нажмите ** Security and quality**.\n2. В строке «Code scanning уведомления» нажмите **Настроить code scanning**.\n3. В разделе «Инструменты» рядом с «CodeQL анализом» выберите **«Настройка**», затем нажмите **«По умолчанию**».\n4. В всплывающем окне нажмите **Включить CodeQL**. Это запустит GitHub Actions рабочий процесс, который сканирует ваш код на наличие уязвимостей.\n5. Чтобы проверить статус вашего рабочего процесса, в панели навигации нажмите **«Действия».**\n6. Когда рабочий процесс завершён, в панели навигации нажмите ** Security and quality**.\n7. Чтобы просмотреть code scanning уведомление, обнаруженное рабочим процессом, в боковой навигации нажмите **Code scanning**, затем **нажмите Отражённое кросс-сайтовое скриптирование**.\n\n## Понимание code scanning предупреждения\n\nТеперь, когда code scanning обнаружена уязвимость в коде, давайте разберём информацию, предоставленную в оповещении.\n\n### Расположение\n\nВ оповещении отображается небольшая предварительная версия файла, в центре строк кода, создающих уязвимость. В нашем случае уязвимость обнаруживается в строке 8 файла `index.js` , где мы реализуем предоставленные пользователем входные данные на нашем сайте.\n\nЕсли мы рассмотрим более подробный взгляд, мы можем увидеть, что базовая проблема возникает в строке 7, когда мы назначаем `greet` входные данные пользователя без проверки вредоносного кода. Чтобы просмотреть пошаговые представления уязвимости в нашем коде, в выноске под уязвимыми линиями нажмите кнопку **\"Показать пути**\".\n\n\n\n### Описание и рекомендация\n\nПод предварительным просмотром файла code scanning приведено более подробное описание уязвимости. Чтобы увидеть рекомендуемое исправление, а также примеры уязвимого и исправленного кода, нажмите **«Показать больше**».\n\n\n\nВ нашем случае рекомендация заключается в очистке входных данных пользователей перед его использованием. Это означает, что необходимо проверить входные данные для вредоносного кода, а затем очистить его при необходимости.\n\n> \\[!TIP] Если вы не совсем понимаете, как рекомендуется, [попробуйте спросить Copilot Chat](https://github.com/copilot) объяснение.\n\n### Временная шкала\n\nНаконец, можно увидеть временную шкалу оповещения в нижней части страницы. Наша временная шкала содержит фиксацию, в которой обнаружена уязвимость, и автоматически обновляется при исправлении уязвимости.\n\n\n\n## Автоматическое исправление уязвимости\n\nЧтобы быстро и легко обеспечить безопасность нашего проекта, давайте используем GitHub Copilot Autofix для code scanning.\n\n1. Под заголовком оповещения, в поле с предложением «Ускорить устранение этого оповещения с Copilot Autofix помощью для CodeQL», нажмите **Generate fix**.\n2. После Copilot генерации предложения исправления оно описывает предлагаемые изменения, отображает предварительный просмотр изменений и выявляет любые добавленные зависимости. Уделите минуту, чтобы прочитать Copilotработу .\n3. Чтобы создать запрос на вытягивание с исправлением, нажмите кнопку **\"Зафиксировать в новую ветвь**\", а затем нажмите кнопку **\"Зафиксировать изменение**\".\n4. После создания запроса на вытягивание черновика в нижней части страницы нажмите кнопку **\"Готово к просмотру** \", чтобы сделать его слиянием.\n5. Чтобы применить исправление, нажмите кнопку **\"Объединить запрос** на вытягивание\", а затем нажмите кнопку **\"Подтвердить слияние**\".\n\n После слияния pull-запроса и повторного code scanning запуска рабочего процесса оповещение автоматически закроется, а фиксация, исправляющая уязвимость, будет добавлена на таймлайн.\n\n> \\[!NOTE] В реальных проектах всегда стоит просматривать предлагаемые Copilot изменения, прежде чем фиксировать их в коде.\n\n## Следующие шаги\n\nТеперь, когда вы попробовали code scanning демо-репозиторий, **включите его в своих проектах** , чтобы быстро находить и исправлять текущие и будущие уязвимости.\n\nТеперь, когда вы обеспечили код, который вы написали самостоятельно, выполните следующий шаг к безопасному коду, проверив безопасность **зависимостей**. См [. раздел AUTOTITLE](/ru/get-started/learning-to-code/finding-and-fixing-your-first-dependency-vulnerability)."}