codeql yeni bir uyarı verdiğinde hemen kritik demek de, hepsini kapatmak da riskli. bana en çok yardımcı olan yöntem, uyarıyı küçük bir örnekle yeniden üretmek ve verinin kaynaktan çıktığı yere kadar izini sürmek oldu. gerçek bir açık değilse kuralı körlemesine susturmak yerine neden geçersiz olduğunu kayda geçirmek daha sonra aynı tartışmayı önlüyor. uyarıyı kodu ve veri akışını bilen bir geliştiricinin incelemesi, false positive kararının da gerekçesiyle kayda geçmesi gerekiyor.
şükela: tümü
|
bugün
başlıkta ara
