{"meta":{"title":"查找并修复第一个代码漏洞","intro":"了解通过解析 code scanning 演示存储库中的警报来保护代码的基础知识。","product":"开始","breadcrumbs":[{"href":"/zh/get-started","title":"开始"},{"href":"/zh/get-started/learning-to-code","title":"学习编写代码"},{"href":"/zh/get-started/learning-to-code/finding-and-fixing-your-first-code-vulnerability","title":"保护代码"}],"documentType":"article"},"body":"# 查找并修复第一个代码漏洞\n\n了解通过解析 code scanning 演示存储库中的警报来保护代码的基础知识。\n\n在学习编码的过程中，不小心在项目中引入漏洞是很正常的。 如果在分享工作之前不解决这些安全问题，攻击者就会利用它们操纵代码并访问敏感数据，因此尽快识别并修补非常重要。\n\n值得庆幸的是，有些工具可以在你的公共存储库中自动查找、解释甚至修复漏洞。 本教程中，您将学习如何通过code scanning来确保工作安全。\n\n## 设置演示仓库\n\n让我们从复刻一个存在安全漏洞的演示项目开始。 此项目生成一个简单的网页，但由于我们不会部署项目，因此本练习不存在安全风险\\*\\*\\*\\*。\n\n1. 导航到 [`new2code/code-scanning-demo`](https://github.com/new2code/code-scanning-demo) 仓库。\n2. 在页面右上角，单击 **“分叉**”。\n3. 在出现的页面中，单击“Create fork”\\*\\*\\*\\*。\n\n## 查找代码中的漏洞\n\n设置项目后，让我们启用您的派生版本中的code scanning 来检查代码中的漏洞。\n\n1. GitHub返回，在存储库的主页上，单击\\*\\* Security and quality\\*\\*。\n2. 在“Code scanning 警报”行中，单击**设置code scanning**。\n3. 在“工具”部分的“CodeQL 分析”旁边，选择“ **设置**”，然后单击“ **默认**”。\n4. 在显示的弹出窗口中，单击“ **启用 CodeQL**”。 这会触发扫描 GitHub Actions 代码中的漏洞的工作流。\n5. 若要检查工作流的状态，请在导航栏中单击“ **操作**”。\n6. 工作流完成后，在导航栏中单击 ** Security and quality**。\n7. code scanning若要查看工作流发现的警报，请在侧导航中单击**Code scanning**，然后单击 **“反射跨站点脚本**”。\n\n## code scanning了解警报\n\n更何况 code scanning 已识别出了代码中的漏洞，接下来我们分解警报中提供的信息。\n\n### 位置\n\n警报显示文件的小预览，重点展示造成漏洞的代码行。 在我们的案例中，在 `index.js` 文件的第 8 行检测到了漏洞，我们在该行实现了网站中用户提供的输入。\n\n如果我们仔细观察，就会发现根本问题出现在第 7 行，即我们在未检查恶意代码的情况下将 `greet` 分配给用户输入。 若要查看代码中漏洞的分步视图，请在漏洞行下方的弹出窗口中单击“显示路径”\\*\\*\\*\\*。\n\n\n\n### 描述和建议\n\n在文件预览下方， code scanning 提供漏洞的更详细说明。 若要查看建议的修补程序，以及易受攻击和固定代码的示例，请单击“ **显示更多**”。\n\n\n\n在我们的案例中，建议是在使用前清理用户输入。 这意味着我们需要检查输入是否有恶意代码，然后在必要时进行清理。\n\n> \\[!TIP] 如果你不完全了解建议的修补程序，请尝试 [请求 Copilot Chat](https://github.com/copilot) 解释它。\n\n### 时间线\n\n最后，可以在页面底部看到警报的时间线。 时间线包含首次检测到漏洞的提交记录，并在我们修复漏洞时自动更新。\n\n\n\n## 自动修复漏洞\n\n为了快速和轻松地保护我们的项目，让我们使用GitHub Copilot Autofix来处理code scanning。\n\n1. 在警报标题下方的框中，建议你“使用Copilot Autofix加快对此CodeQL警报的修正”，请单击**生成修复**。\n2. 生成修复建议后 Copilot ，它将描述建议的更改、呈现更改预览以及调用任何添加的依赖项。 花点时间读一读 Copilot 的作品。\n3. 若要创建包含修复的拉取请求，请单击**提交到新分支**，然后单击**提交更改**。\n4. 创建草稿拉取请求后，在页面底部，单击“提交审核”以使其进入可合并状态\\*\\*\\*\\*。\n5. 若要应用修复，请单击“Merge pull request”，然后单击“Confirm merge”\\*\\*\\*\\*\\*\\*\\*\\*。\n\n 合并拉取请求并 code scanning 再次运行工作流后，警报将自动关闭，修复漏洞的提交将添加到时间线。\n\n> \\[!NOTE] 在实际项目中，您应始终在提交更改到代码之前查看由 Copilot 建议的更改。\n\n## 后续步骤\n\n在演示存储库上试用 code scanning 后，可在 **自己的项目中** 快速查找和修复当前和将来的漏洞。\n\n在确保您自己编写的代码安全之后，下一步通过检查依赖项的安全性，进一步提升代码的安全性。 请参阅“[查找并修复第一个依赖项漏洞](/zh/get-started/learning-to-code/finding-and-fixing-your-first-dependency-vulnerability)”。"}