Estás a 5 minutos de calidad de código y seguridad de código

Hola, soy Ann Campbell de SonarSource. Hoy no tengo ninguna diapositiva para ustedes. Voy a intentar algo que es un poco arriesgado dadas las limitaciones de tiempo, pero esto debería funcionar bien. Así que lo que están viendo ahora es la página principal de Sonar Cloud, que es un producto SAS, un producto SAS-SAS, para agregar calidad de código y seguridad de código a tu repositorio. Y hoy quiero mostrarte lo fácil que es hacer eso.

Así que voy a comenzar iniciando sesión. Ahora ya tengo una cuenta, por lo que verán eso reflejado en mi experiencia. Pero como nuevo usuario, todo lo que tendrías que hacer es elegir tu ALM para iniciar sesión y se crea tu cuenta automáticamente. Así que voy a comenzar con GitHub, porque tengo una cuenta allí. Y me inicia sesión y me muestra los proyectos a los que tengo acceso. Pero eso no es lo que quiero mostrarte hoy. Lo que quiero mostrarte hoy es lo fácil que es configurar tus proyectos con calidad de código y seguridad de código.

Así que voy a ir a la opción PLUS para analizar un nuevo proyecto. Ahora me pregunta si quiero analizar un proyecto de una de las organizaciones existentes a las que ya tengo acceso. Pero nuevamente, eso no es lo que quiero mostrarte hoy. Voy a mostrarte cómo crear una organización desde mi ALM. Así que voy a elegir GitHub. Y cuando llego aquí, me pregunta qué organización quiero en GitHub. Voy a elegir la privada. Y ahora GitHub me está pidiendo que otorgue permisos. Ahora, no quiero darle permisos a Sonar Cloud, solo estoy probando esto, ¿verdad? Así que no quiero darle permiso a Sonar Cloud para todos mis repositorios. Voy a seleccionar los repositorios que he elegido, que he bifurcado recientemente para esta demostración. Así que escribo los nombres de mis repositorios y hay un par que quiero mostrarte. Y una vez que los he seleccionado, puedo guardar eso. Eso me lleva de vuelta a Sonar Cloud, donde tengo un par de pasos más que completar. Tengo que darle un nombre y establecer una clave para mi organización. Voy a ir con el valor predeterminado. Quiero el plan gratuito, Sonar Cloud es gratuito para proyectos de código abierto. Así que voy a crear mi organización de esa manera. Ahora Sonar Cloud me está preguntando, de los repositorios a los que tiene acceso, ¿cuáles quiero analizar? Quiero analizar ambos. Ahora hago clic en Configurar.

Y lo que está sucediendo ahora es que Sonar Cloud está revisando mi código. Y está echando un vistazo para ver si puede analizarlo automáticamente por mí. Así que no tengo que hacer ninguna configuración de CI/CD aquí. Simplemente se encargará de eso por mí.

Entonces, analiza mi código y dice que sí, puedo ejecutar un análisis automático en esto. Y está analizando la última versión de la rama principal. A partir de este momento, por cada confirmación en mi rama principal y por cada nueva solicitud de extracción, se ejecutará ese análisis por mí y se reflejarán los resultados en mi solicitud de extracción en GitHub, con una marca en mi solicitud de extracción.

Así que ahora mi pequeña aplicación ya ha terminado de analizar. Vamos a ver qué tengo. Aquí está mi resumen. Cero errores, tengo algunas vulnerabilidades. Tengo algunos otros problemas, pero lo que realmente quiero mostrarte aquí son los problemas. Aquí tengo mi lista de problemas. Sin embargo, no es muy útil ver solo una lista de problemas sin contexto. Así que voy a profundizar aquí. Veamos los problemas bloqueantes y las reglas. Tengo la regla de que las consultas a la base de datos no deben ser vulnerables a ataques de inyección. Veamos cuáles son esas. Voy a hacer clic en esto para ver el problema en el contexto del código.

Ahora, esta aplicación fue creada para demostrar vulnerabilidades. Así que lo que estamos viendo aquí es un flujo de vulnerabilidad realmente compacto. Pero la realidad es que en proyectos normales, el flujo de vulnerabilidad abarcará no solo funciones, sino probablemente también páginas y diferentes archivos en el proyecto. Hemos diseñado la interfaz de usuario, aunque no la estés viendo aquí, para que sea fácil de entender ese flujo a través de funciones y archivos. Eso es lo que quería mostrarte en este proyecto.

Ahora, voy a volver a mi lista de proyectos. Y mi otro proyecto ya ha terminado de analizar en este momento. Así que quiero entrar en ese. Una vez más, aquí tengo mi resumen en la parte superior. Y quiero mostrarte algo en la página de Problemas. Y eso está aquí, debajo de la lista de lenguajes.

Así que ahora estamos aquí para hablar sobre JavaScript hoy. Y eso es principalmente en lo que estoy enfocándome. Pero quiero señalar que tengo problemas tanto en el código JavaScript como en el código HTML de mi proyecto. Hoy en día, es una realidad que la mayoría de los proyectos no son monolingües. La mayoría de los proyectos tienen varios lenguajes. Y por el costo de esa única configuración, obtengo no solo el análisis de mi JavaScript, sino también de los otros lenguajes en mi proyecto. Así que eso es bastante genial.

Ahora, nuevamente, para reducirlo a los bloqueadores, solo para ver las cosas más interesantes, si observo las reglas que se están incumpliendo, aquí hay una ejecución de código dinámico para ataques de inyección. Veamos de qué se trata eso. Muy bien. Aquí tengo un flujo de problemas un poco más grande. Ahora, tal vez no esté familiarizado con la seguridad. Tal vez no entienda por qué esto es un problema. Si ese es el caso, tengo la descripción de la regla aquí lista para que pueda comprender no solo por qué debería seguir la regla, no solo qué malo puede suceder si no sigo la regla, sino que también suelo tener algunos ejemplos de código para que pueda ver código incorrecto, código malo, y luego ver ese mismo código corregido para que pueda aplicar ese patrón a mi propio código y hacer las correcciones en mi código.

Casi se me acaba el tiempo, pero afortunadamente, ya he dicho todo lo que quería decir. Muchas gracias por su tiempo y atención, y nos hablamos más tarde. Gracias. Gracias.