ה-checkout נוקב בשם תוכנית.

איך זה נעלם מהעין

הסוכן מריץ פקודת פיתוח רגילה. אך תצורת המאגר מצביעה על קוד משלה. בדיקת שם הכלי הגלוי בלבד עלולה להחמיץ את התצורה שמשנה את מה שקורה מתחת.

checkout יכול להפנות את Git ל-hooks בעץ העבודה, לקנפג הגדרות ערך פקודה, או לכלול משימות עורך המופעלות בפתיחת תיקייה. קבצים אלה ראויים לבדיקה לפני שתתייחס לסביבת העבודה כאוסף פסיבי של קוד מקור.

מה ClawMetry מזהה

ClawMetry סורק תצורת סביבת עבודה נתמכת להגדרות הקשורות להרצה. הוא מדווח על המפתח הרלוונטי או מקור התצורה, תוך שימוש בצורות פקודה ידועות כטובות להפחתת רעש. גלאי זה קורא את ה-checkout עצמו, במקום להסתמך רק על זרם כלי הסוכן.

ההבדל שמשנה את הממצא

הדוגמה הנבדקת מצביעה ל-Git hooks על תיקייה המגיעה בעץ העבודה ומייצרת ממצא קריטי. נתיב hooks המצביע לתיקיית Git hooks ברירת המחדל נשאר שקט. הממצא מזהה תצורה הנוקבת בשם קוד, לא הרצה מוקלטת של אותו קוד.

{
  "kind": "repo_config_exec",
  "severity": "critical",
  "evidence": {
    "keys": [
      "core.hookspath"
    ],
    "hits": [
      {
        "key": "core.hookspath",
        "command": ".githooks",
        "line": 2,
        "manager": null
      }
    ],
    "config": ".git/config",
    "observed": "repository_config"
  }
}

מה לבדוק בהמשך

בדוק את ההגדרה, הקבצים המוזכרים ומקור ה-checkout. החלט האם תוכניות אלו צפויות לפני שתאפשר פעולות פיתוח רגילות. אם כלי כבר רץ, בדוק את השפעותיו בנפרד באמצעות הראיות הזמינות במכונה.

1. בדוק את מפתח התצורה
2. בדוק קוד מוזכר
3. בדוק את מקור המאגר