قراءة التقرير

يفتح التقرير بملخص ودرجة مخاطر وعدد، ثم يسرد النتائج من الأكثر إلى الأقل شدة. كل شيء تحت الملخص مكتوب للعمل عليه، وليس فقط القراءة.

درجة المخاطر

تتراوح درجة المخاطر من 0 إلى 100 وتعبر عن مدى عرضة هذا الكود بشكل عام: إنها توازن النتائج الأسوأ أكثر بكثير من عدد النتائج. مشكلة حرجة واحدة يمكن الوصول إليها عن بعد تسجل أعلى من عشرات النتائج منخفضة الشدة. استخدمها لمقارنة المستودع بنفسه بمرور الوقت؛ إنها ليست معيارا ضد قواعد الأكواد الأخرى.

الشدة

• حرج — قابل للاستغلال عن بعد، يؤدي إلى تنفيذ الكود عن بعد أو تجاوز المصادقة أو خرق البيانات الكامل أو تسريب سر إنتاج.
• عالي — ضعف خطير يحتاج إلى شرط محدد، مثل جلسة مصرح بها أو مسار إدخال معين.
• متوسط — حقيقي لكن محدود: يحتاج إلى شرط مسبق غير محتمل، أو الضرر محتوى.
• منخفض — النظافة والتقسية: يستحق الإصلاح، لا يستحق إيقاظ أحد.
• معلومات — ملاحظة ليس لها تأثير أمني مباشر.

داخل النتيجة

يتم بناء كل نتيجة حتى تتمكن من الحكم عليها دون الوثوق بها عمياء:

• الموقع — الملف ونطاق الأسطر حيث تعيش المشكلة.
• الدليل — الكود الذي تم نقله حرفيا من المستودع الخاص بك. إذا لم يطابق الدليل الملف، فالنتيجة خاطئة؛ هذه هي نقطة الاستشهاد بها.
• الوصف — ما الذي يحدث خطأ، مكتوب لمطور لم يكتب هذا الكود.
• التأثير — ما الذي يحصل عليه المهاجم وما الذي يحتاجه أولا.
• كيفية إصلاحها — خطوات مرتبة، وليس نصائح عامة.
• التصحيح — كود مصحح مكتوب مقابل الكود المقتبس، جاهز للتكيف.
• كيفية التحقق — الفحص الذي يخبرك بنجاح الإصلاح، لذا لا تحزر.
• المراجع — ارتباط واحد إلى ثلاثة موثوقة، مثل إدخال CWE أو توثيق المكتبة الخاصة به.
• الثقة — مدى تأكد المراجع. الثقة المنخفضة تعني أن النتيجة تعتمد على سياق لم يستطع التدقيق رؤيته.

خريطة CWE

تحمل النتائج معرف CWE حيث ينطبق. CWE هو ما يربط النتائج الخاصة بك بالنظام الأوسع: إنه يدفع توزيع الضعف في لوحة التحكم وعوامل تصفية بث CVE والمفتاح الذي يحافظ على الرفض مرتبطا بنفس المشكلة عبر التدقيقات.

التصدير

يمكن نسخ أي تقرير أو تنزيله كـ Markdown، مع وجود التصحيحات داخل كتل الأسوار، وهو مناسب للصق في متتبع المشاكل أو وصف طلب السحب. يصدر مستكشف النتائج أيضا CSV عبر المستودعات.

مشاركة التقرير

يمكن تسليم التقرير المكتمل لشخص بدون حساب: يقوم زر المشاركة بنسخ رابط للقراءة فقط يحمل توقيعه وانتهاء الصلاحية. الصفحة التي تفتح تظهر التقرير وليس شيء آخر — لا توجد عمليات الرفض ولا بيانات الحساب — والرابط يتوقف عن العمل بعد سبعة أيام. يمكن لأي شخص لديه الرابط قراءة التقرير، لذا تعامل معه مثل الكود الذي يصفه.

اللغة

تتم كتابة التقارير باللغة التي كنت تستخدمها عند بدء التدقيق. الكود ومسارات الملفات ومعرفات CWE والتصحيحات وارتباطات المرجع تبقى كما هي — يتم ترجمة النثر فقط.