Help:Sarif - Revision history

Akuzmin: fix quality gate link

2025-06-17T13:36:39Z

fix quality gate link

← Older revision		Revision as of 16:36, 17 June 2025
Line 85:		Line 85:

	=== Использование quality gate ===		=== Использование quality gate ===
	Смотрите секцию про ~~<code>~~quality-gate~~</code>~~ в ~~[https://svacer~~.~~ispras.ru/mediawiki/index.php?title=Help:Import_from_Svace#%D0%98%D1%81%D0%BF%D0%BE%D0%BB%D1%8C%D0%B7%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5_--full-paths Help:Import from Svace]~~		Смотрите [[Help:Import_from_Svace#Использование_quality_gate\|секцию про quality gate]] в документации по импорту.

	=== Экспорт ===		=== Экспорт ===
	NAME:		NAME:

Ruseer: /* Использование quality gate */

2025-06-17T05:41:07Z

Использование quality gate

@@ Line 85: / Line 85: @@
 === Использование quality gate ===
-Возможна проверка новых, пропущенных, одинаковых, измененных предупреждений, для этого надо производить импорт с опцией '''--quality-gate'''.
+Смотрите секцию про <code>quality-gate</code> в  [https://svacer.ispras.ru/mediawiki/index.php?title=Help:Import_from_Svace#%D0%98%D1%81%D0%BF%D0%BE%D0%BB%D1%8C%D0%B7%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D0%B5_--full-paths Help:Import from Svace]
 === Экспорт ===
   NAME:

Gribunin: add quality gate description

2025-06-16T13:23:20Z

add quality gate description

← Older revision		Revision as of 16:23, 16 June 2025
Line 83:		Line 83:

	Location в исходных конструкциях SARIF должен содержать номер строки. Если location задан через offset, то при импорте может получится некорректная строка.		Location в исходных конструкциях SARIF должен содержать номер строки. Если location задан через offset, то при импорте может получится некорректная строка.

			=== Использование quality gate ===
			Возможна проверка новых, пропущенных, одинаковых, измененных предупреждений, для этого надо производить импорт с опцией '''--quality-gate'''.
			--quality-gate value Specify a quality gate. Format: stat_1:severity_1:N_1:[statuses_1],...,stat_k:severity_k:N_k:[statuses_k], stat takes values: new, missing, matched, same, total; severity takes the following values: all, critical, major, normal, minor, undefined, <detector name part>; N is a natural number; statuses - an optional field, specified in square brackets with a separator ";" possible values - confirmed, false_positive, wont_fix, unclear, undecided, when specifying statuses, the quality gate will be searched only for markers that have exactly these statuses, for example [confirmed;wont_fix;undecided]. If the severity of the number N is exceeded, it will out a warning. Also, as a value, you can specify a json or yaml file in which the quality gate is specified.
			Флаг принимает на вход тип предупреждений (stat), severity, их количество (N) и их статусы (statuses).

			* stat задает тип предупреждений. Возможные значения:
			** '''new''' (присутствует в новом снимке, но отсутствует в старом)
			** '''missing''' (присутствует в старом снимке, но отсутствует в новом)
			** '''matched''' (присутствуют изменения в файлах не повлиявшие на выданное предупреждение)
			** '''same''' (одинаковые)
			** '''total''' (сумма всех вышеперечисленных)
			* severity задается либо непосредственным его указанием ('''critical''', '''major''', '''normal''', '''minor''', '''undefined'''), либо '''all''' (все severity), либо частью имени детектора в формате postgres ILIKE https://www.postgresql.org/docs/current/functions-matching.html
			* N - порог, после которого вызывается срабатывание. Не включает данное число (т.е. если указать 5, то при нахождении 6 и более вызывается срабатывание quality-gate)
			* statuses - '''опциональное''' поле, в котором можно указать какие статусы (разметку) учитывать при нахождении предупреждений. Возможные значения '''confirmed''', '''false_positive''', '''wont_fix''', '''unclear''', '''undecided'''. Задаются в квадратных скобках с разделителем ";". Например, [confirmed;wont_fix]. Если не указать данное поле, то будут учитываться все статусы. Принципы учета статусов:
			** Если предупреждение размечено в новом снимке (значение не '''undecided'''), разметка берется из нового предупреждения
			** Если в новом снимке нет разметки у данного предупреждения, а в старом есть, то берется разметка из старого предупреждения
			** В остальных случаях у данного предупреждения разметка равна '''undecided'''.

			Пример:
			--quality-gate "total:critical:0:[confirmed;wont_fix],new:all:10"
			Тогда опция сработает, если либо:

			1) статическим анализатором будут найдены общее количество предупреждений (новых, пропущенных, одинаковых, измененных) с '''severity:critical''' и статусами '''confirmed''' и '''won't fix'''

			2) статическим анализатором будут найдены новые предупреждения с любым статусом и severity

			Пример вывода:
			Quality gate exceed:
			Previous snapshot : Snapshot 2025-06-16 15:37:09 +0300
			Current snapshot : Snapshot 2025-06-16 15:37:39 +0300
			Stat : total
			Severity : Critical
			Severity Statuses : confirmed wont_fix
			Severity Threshold : 0
			Found Severity : 3
			Также quality-gate можно задать файлом в формате json или yaml (не yml).

			Пример json файла:

			<code>["total:all:1", "total:proc:1"]</code>

			Пример yaml файла:
			- "total:all:1"
			- "total:proc:1"

			==== Флаг --quality-gate-exit-code ====
			В случае срабатывания quality gate можно указать какой exit code будет возвращен
			--quality-gate-exit-code value Specify the exit code of the application in the range from 0 to 125, which will be issued when the quality-gate is exceeded. The default is 0.
			Принимает значения от 0 до 125 (по умолчанию 0)

			==== Флаг --quality-gate-verbose ====
			Если необходимо выводить информацию и об успешно прошедших quality gate, то нужно добавить флаг --quality-gate-verbose, тогда в конце будет вывод успешно прошедших quality gate

			Пример вывода:
			Quality gate exceed:
			Previous snapshot : Snapshot 2025-06-16 15:37:39 +0300
			Current snapshot : Snapshot 2025-06-16 16:10:33 +0300
			Stat : total
			Severity : Critical
			Severity Statuses : confirmed wont_fix
			Severity Threshold : 0
			Found Severity : 3
			The result of comparison of those who have completed quality gate:
			Previous snapshot : Snapshot 2025-06-16 15:37:39 +0300
			Current snapshot : Snapshot 2025-06-16 16:10:33 +0300
			Stat : new
			Severity : All
			Severity Threshold : 10
			Found Severity : 0

			==== Флаг --baseline ====
			Если сравнение необходимо проводить не с предыдущим снимком в этой же ветке, то можно указать флаг '''--baseline''' (также работает для флага --quick-stats)
			--baseline value A snapshot to compare (--quality-gate and/or --quick-stats). Format: {project}:::{branch}:::{snapshot} or {project}:::{branch} or {project} use UUID or name. By default, snapshot is the last added, branch is master. If the flag is not specified, then the comparison will be with the latest snapshot from the branch where the snapshot is loaded.
			Указывается в формате {project}:::{branch}:::{snapshot} или {project}:::{branch} или {project}, используя имена или UUID. По умолчанию используется ветка master (если указан только проект) и последний добавленный снимок (если снимок не указан).

			При указании данного флага меняется вывод:

			* В текстовом формате добавляются строки об имени проекта, ветки и снимка, с которым сравнивался загружаемый снимок.
			* В json формате добавляются имена и id проекта,ветки и снимка, с которым сравнивался загружаемый снимок.

			'''Флаг --out-file'''

			Для указания файла, в который необходимо загрузить результаты quality gate, используете опцию --out-file (по умолчанию вывод идет в stdout)

			'''Флаг --out-format'''

			Для указания в каком формате вывести результаты quality gate используйте опцию --out-format. Принимает значения text (человекочитаемый) и json. По умолчанию text

	=== Экспорт ===		=== Экспорт ===

Akuzmin: minor fixes

2025-05-16T12:18:52Z

minor fixes

Ruseer: /* Импорт трасс */

2025-05-16T06:41:26Z

Импорт трасс

← Older revision		Revision as of 09:41, 16 May 2025
Line 80:		Line 80:

	==== Импорт трасс ====		==== Импорт трасс ====
	Конструкции SARIF сodeFlow и relatedLocations импортируются в трассы в концепции Svacer.		Конструкции SARIF <code>сodeFlow</code> и <code>relatedLocations</code> импортируются в трассы в концепции Svacer.

			Location в исходных конструкциях SARIF должен содержать номер строки. Если location задан через offset, то при импорте может получится некорректная строка.

	=== Экспорт ===		=== Экспорт ===

Ruseer: /* Экспорт */ К

2025-05-16T06:35:48Z

Экспорт: К

← Older revision		Revision as of 09:35, 16 May 2025
Line 108:		Line 108:
	--with-taxonomies Generate SARIF report with taxonomies (default: false)		--with-taxonomies Generate SARIF report with taxonomies (default: false)
	--help Show help (default: false)		--help Show help (default: false)
			Полный список опций может быть получен при выполнении команд:
			svacer sarif2 import --help
			svacer sarif2 export --help
	Пример экспорта с включением содержимого файлов в артефакты:		Пример экспорта с включением содержимого файлов в артефакты:
	svacer sarif2 export --host localhost --user admin --password admin --include-contents --project bash --out /tmp/out.sarif		svacer sarif2 export --host localhost --user admin --password admin --include-contents --project bash --out /tmp/out.sarif

	~~При экспорте включается разметка предупреждений~~ в ~~пользовательские атрибуты (~~properties~~). Также включается информация об ID снимка, проекта и прочая дополнительная информация~~.		Экспорт в SARIF включает дополнительные данные в <code>properties</code> объект у соответствующего SARIF объекта. Дополнительные данные состоят из:

	~~Полный список опций может быть получен при выполнении команд:~~		* информация о проекте, ветке и снимке
	~~svacer sarif2 import --help~~		* информация о разметке (статус, severity, action, кем была выполнена и дата)
	~~svacer sarif2 export --help~~		* информация о детекторе (severity,reliability, warnClass и прочая информация)
			* дополнительные поля от маркера (mtid, invariant, function и т.д)
			* тэги (метки)
			* комментарии

			Для генерации <code>fingerprints</code> используется <code>invaraint</code> маркера. Для генерации partialFingerprints используется поле <code>details</code> у маркера.

			Трасса отображается в <code>codeFlows</code>.

			В качестве <code>logicalLocations</code> используется поле <code>function</code>.

			==== Оценка размера экспортированного файла ====
			Снимок с примерно 34 тысячами предупреждений, содержащий разметку и комментарии для ядра Linux при экспорте с включением исходного кода производит SARIF файл размером 450Мб (в сжатом виде получается порядка 70Мб)

Akuzmin: minor fixes

2025-05-15T13:59:38Z

minor fixes

Ruseer at 10:17, 15 May 2025

2025-05-15T10:17:03Z

← Older revision		Revision as of 13:17, 15 May 2025
Line 73:		Line 73:
	Пример:		Пример:
	--map-severity note:minor,error:critical,*:major		--map-severity note:minor,error:critical,*:major

			==== Импорт трасс ====
			Конструкции SARIF сodeFlow и relatedLocations импортируются в трассы в концепции Svacer.

	=== Экспорт ===		=== Экспорт ===

Ruseer at 10:15, 15 May 2025

2025-05-15T10:15:00Z

← Older revision		Revision as of 13:15, 15 May 2025
Line 1:		Line 1:
	~~[[index.php?title=Category:Help]]~~
	== Работа с SARIF из CLI ==		== Работа с SARIF из CLI ==
	Для импорта и экспорта результатов в формате SARIF Svacer предоставляет набор команд <code>svacer sarif2 import</code> и <code>svacer sarif2 export</code>.		Для импорта и экспорта результатов в формате SARIF Svacer предоставляет набор команд <code>svacer sarif2 import</code> и <code>svacer sarif2 export</code>.

Ruseer at 10:14, 15 May 2025

2025-05-15T10:14:47Z

Show changes

← Older revision		Revision as of 15:18, 16 May 2025
Line 110:		Line 110:
	--with-taxonomies Generate SARIF report with taxonomies (default: false)		--with-taxonomies Generate SARIF report with taxonomies (default: false)
	--help Show help (default: false)		--help Show help (default: false)

	Полный список опций может быть получен при выполнении команд:		Полный список опций может быть получен при выполнении команд:
	svacer sarif2 import --help		svacer sarif2 import --help
	svacer sarif2 export --help		svacer sarif2 export --help

	Пример экспорта с включением содержимого файлов в артефакты:		Пример экспорта с включением содержимого файлов в артефакты:
	svacer sarif2 export --host localhost --user admin --password admin --include-contents --project bash --out /tmp/out.sarif		svacer sarif2 export --host localhost --user admin --password admin --include-contents --project bash --out /tmp/out.sarif
Line 120:		Line 122:
	* информация о проекте, ветке и снимке		* информация о проекте, ветке и снимке
	* информация о разметке (статус, severity, action, кем была выполнена и дата)		* информация о разметке (статус, severity, action, кем была выполнена и дата)
	* информация о детекторе (severity,reliability, warnClass и прочая информация)		* информация о детекторе (severity, reliability, warnClass и прочая информация)
	* дополнительные поля от маркера (mtid, invariant, function и т.д)		* дополнительные поля от маркера (mtid, invariant, function и т. д.)
	* тэги (метки)		* тэги (метки)
	* комментарии		* комментарии

	Для генерации <code>fingerprints</code> используется <code>~~invaraint~~</code> маркера. Для генерации partialFingerprints используется поле <code>details</code> у маркера.		Для генерации <code>fingerprints</code> используется <code>invariant</code> маркера. Для генерации <code>partialFingerprints</code> используется поле <code>details</code> у маркера.

	Трасса отображается в <code>codeFlows</code>.		Трасса отображается в <code>codeFlows</code>.
Line 132:		Line 134:

	==== Оценка размера экспортированного файла ====		==== Оценка размера экспортированного файла ====
	Снимок с примерно 34 тысячами предупреждений, содержащий разметку и комментарии для ядра Linux при экспорте с включением исходного кода производит SARIF файл размером 450Мб (в сжатом виде получается порядка 70Мб)		Снимок с примерно 34 тысячами предупреждений, содержащий разметку и комментарии для ядра Linux при экспорте с включением исходного кода производит SARIF файл размером 450Мб (в сжатом виде получается порядка 70Мб).

← Older revision		Revision as of 16:59, 15 May 2025
Line 53:		Line 53:
	--autoclean Remove .svacer-dir after successfull upload (default: false)		--autoclean Remove .svacer-dir after successfull upload (default: false)
	--help Show help (default: false)		--help Show help (default: false)

	Пример импорта c включением содержимого файлов (при наличии его в самом sarif-файле или возможности найти файл в процессе импорта):		Пример импорта c включением содержимого файлов (при наличии его в самом sarif-файле или возможности найти файл в процессе импорта):

	svacer sarif2 import --store /tmp/sarif --include-contents /path/to/sarif/file.sarif		svacer sarif2 import --store /tmp/sarif --include-contents /path/to/sarif/file.sarif

	Если sarif файл содержит относительные пути, то можно указать опцию <code>--base-dir</code> для поиска файлов относительно указанной директории.		Если sarif-файл содержит относительные пути, то можно указать опцию <code>--base-dir</code> для поиска файлов относительно указанной директории.

	Далее полученный intermediate store можно загрузить командой upload как и для импорта svres. Также можно скомбинировать import с upload:		Далее полученный intermediate store можно загрузить командой upload как и для импорта svres. Также можно скомбинировать import с upload:

	svacer sarif2 import --upload --store /tmp/sarif --include-contents /path/to/sarif/file.sarif		svacer sarif2 import --upload --store /tmp/sarif --include-contents /path/to/sarif/file.sarif

	==== Использования флага <code>--resolver</code> ====		==== Использования флага <code>--resolver</code> ====
	В случае, если исходные файлы лежат в иных локациях и простым образом указать <code>--base-dir</code> или <code>--uriBaseId</code> нельзя (допустим, пути ~~windows~~-specific а импорт идет на Linux), то пользователь может указать параметр <code>--resolver</code> с путем к файлу, где написана функция конверсии путей. Файл должен содержать Go функцию		В случае, если исходные файлы лежат в иных локациях и простым образом указать <code>--base-dir</code> или <code>--uriBaseId</code> нельзя (допустим, пути Windows-specific а импорт идет на Linux), то пользователь может указать параметр <code>--resolver</code> с путем к файлу, где написана функция конверсии путей. Файл должен содержать Go функцию

	func ResolvePath (s string) (string, bool) {		func ResolvePath (s string) (string, bool) {
	// пользовательская логика преобразования пути. Возвращать "", false, если надо применить обычные правила		// пользовательская логика преобразования пути. Возвращать "", false, если надо применить обычные правила
	}		}
	Функция обрабатывается в ходе импорта Sarif-а, для выполнения используется функционал https://github.com/traefik/yaegi Пользователь может использовать пакеты <code>fmt, regexp, strings</code>
			Функция обрабатывается в ходе импорта Sarif, для выполнения используется функционал https://github.com/traefik/yaegi Пользователь может использовать пакеты <code>fmt, regexp, strings</code>

	==== Мэппинг severity ====		==== Мэппинг severity ====
	Для задания правил отображения checker severity при импорте Sarif-а, пользователь может использовать флаг <code>--map-severity</code>. Флаг ожидает значение в виде строки в формате <code><sarif level\|*>:<svacer level>,<sarif level>:<svacer level></code>		Для задания правил отображения checker severity при импорте Sarif, пользователь может использовать флаг <code>--map-severity</code>. Флаг ожидает значение в виде строки в формате <code><sarif level\|*>:<svacer level>,<sarif level>:<svacer level></code>

	Пример:		Пример:
Line 103:		Line 108:
	--with-taxonomies Generate SARIF report with taxonomies (default: false)		--with-taxonomies Generate SARIF report with taxonomies (default: false)
	--help Show help (default: false)		--help Show help (default: false)

	Пример экспорта с включением содержимого файлов в артефакты:		Пример экспорта с включением содержимого файлов в артефакты:
	svacer sarif2 export --host localhost --user admin --password admin --include-contents --project bash --out /tmp/out.sarif		svacer sarif2 export --host localhost --user admin --password admin --include-contents --project bash --out /tmp/out.sarif