リポジトリワークフローの監査
バンドルされた依存関係不要の監査ツールを使用します。証拠を先に提示し、発見事項と作成者の証明、意図、侵害、悪用可能性を区別します。
ワークフロー
- 正確なリポジトリディレクトリを解決します。ユーザーが指定したスコープ外をスキャンしないでください。
references/commands.mdを読み、最初に読み取り専用の監査を実行します。- 重大および高重要度の発見事項、各発見事項をトリガーするワークフロー/イベントパス、および文書化された安全な修復方法を要約します。
- パッチはユーザーが修正またはパッチをリクエストした場合にのみ生成します。
fixコマンドはユニファイド差分テキストを出力し、ターゲットリポジトリを編集することはありません。 - 適用前にすべての提案パッチをレビューします。リポジトリ所有者の判断が必要な変更を明示します。
ガードレール
- 個別の明示的なリクエストなしに、防御プロファイルのインストール、リポジトリ設定の編集、コミット、プッシュ、マージ、イシューのクローズ、または権限の変更を行わないでください。
- ヒューリスティックな発見事項に基づいて、コントリビューター、アカウント、プルリクエスト、またはコミットを悪意があるとラベル付けしないでください。
--fail-onからの終了コード2は、監査ツールのクラッシュではなく、ポリシーしきい値の結果として扱います。- 機密性の高いワークフローパスやセキュリティ詳細が含まれる場合は、SARIFまたはJSON出力を非公開に保ちます。
- 対象がGitリポジトリでない場合は、リポジトリの ID を捏造するのではなく、証明コンテキストが限定されていることを説明します。
出力
監査範囲、発見件数、優先順位付けされた発見事項、証拠の場所、修復オプション、制限事項、パッチが生成されたかどうかを返します。