السحب يُسمّي برنامجاً.

كيف يُغفَل عنه

ينفّذ العميل أمر تطوير عادي. لكن تهيئة المستودع تُشير إلى كود خاص بها. مراجعة اسم الأداة المرئي وحده يمكن أن تُفوّت التهيئة التي تغيّر ما يحدث تحت السطح.

يمكن للسحب توجيه Git نحو خطافات في شجرة العمل، أو تهيئة إعدادات ذات قيمة أمرية، أو تضمين مهام محرر تعمل عند فتح المجلد. تستحق تلك الملفات المراجعة قبل التعامل مع بيئة العمل بوصفها مجرد مجموعة سلبية من الكود المصدري.

ما يكشفه ClawMetry

يفحص ClawMetry تهيئة بيئة العمل المدعومة بحثاً عن الإعدادات المتعلقة بالتنفيذ. يُبلّغ عن المفتاح أو مصدر التهيئة ذي الصلة، مستخدماً أشكال الأوامر المعروفة الجيدة للحد من الضجيج. يقرأ هذا الكاشف السحب ذاته، بدلاً من الاعتماد فقط على تدفق أداة العميل.

الفارق الذي يغير النتيجة

يُوجّه المثال المفحوص خطافات Git نحو مجلد مشحون في شجرة العمل فينتج نتيجة حرجة. يظل مسار الخطافات المؤشِّر إلى مجلد خطافات Git الافتراضي صامتاً. تُحدّد النتيجة التهيئة التي تُسمّي كوداً، وليس تنفيذاً مسجّلاً لذلك الكود.

{
  "kind": "repo_config_exec",
  "severity": "critical",
  "evidence": {
    "keys": [
      "core.hookspath"
    ],
    "hits": [
      {
        "key": "core.hookspath",
        "command": ".githooks",
        "line": 2,
        "manager": null
      }
    ],
    "config": ".git/config",
    "observed": "repository_config"
  }
}

ماذا تفحص بعد ذلك

افحص الإعداد والملفات المُشار إليها وأصل السحب. قرّر ما إذا كانت تلك البرامج متوقعة قبل السماح بعمليات التطوير العادية. إذا كانت أداة قد عملت بالفعل، تحقق من تأثيراتها بشكل منفصل باستخدام الأدلة المتاحة على الجهاز.

1. افحص مفتاح التهيئة
2. راجع الكود المُشار إليه
3. تحقق من أصل المستودع