在 SSDLC 的每个阶段构建安全编码技能

通过我们全新的 GitHub Action，直接在 GitHub 代码扫描工作流程中为行业标准的 SARIF 文件添加以开发人员为中心的培训。

9 月 30 日，GitHub 正式宣布 GitHub 代码扫描全面可用。GitHub 代码扫描是一种以开发人员为先、GitHub 原生的方法，旨在帮助开发人员在漏洞进入生产环境之前轻松发现它们。

代码扫描与 GitHub Actions 或现有的 CI/CD 环境集成，从而最大限度地提高了开发团队的灵活性。它能在代码创建时进行扫描，在拉取请求中呈现可操作的安全审查，并将安全性自动化作为 GitHub 工作流程的一部分。

为开发人员提供无缝的安全保障。

代码扫描基于开放的 SARIF（静态分析结果交换格式）标准构建，旨在灵活满足组织不断增长的需求，使他们能够在同一个 GitHub 原生体验中集成开源和商业静态应用程序安全测试 (SAST) 解决方案。

第三方代码扫描工具可以根据 GitHub 中的事件（如拉取请求）通过 GitHub Action 或 GitHub App 启动。结果将格式化为 SARIF 并上传到 GitHub 安全警报选项卡。警报会按工具进行汇总，并且 GitHub 可以跟踪并抑制重复警报。这使开发人员能够在 GitHub 上的任何项目中自由选择工具，并全程在 GitHub 原生体验中完成工作。简而言之，它消除了传统安全方法带来的干扰，并尊重开发人员的工作流程。

昨天，GitHub 在其博客文章《第三方代码扫描工具：静态分析与开发人员安全培训》中，将 Secure Code Warrior 列为唯一以开发人员为中心的培训提供商，与 Snyk、Checkmarx、Fortify On Demand、Synopsis 和 Veracode 并列。

虽然许多 SCA/SAST 解决方案为发现的每个漏洞提供了大量详细信息，并引用了已发布的公告和相关的 CWE，但并非每位开发人员都是安全专家，也不应以此要求他们。实用、可用的建议和工具是实现可操作性安全意识的关键。

情境化微学习。

开发人员对漏洞的背景了解得越多，就越能理解风险，优先修复最紧迫的问题，并从根本上预防这些问题。这就是 Secure Code Warrior 的用武之地。我们的使命是通过有趣、引人入胜且针对特定框架的培训，从一开始就赋能开发人员编写安全的代码，帮助他们建立安全思维，从而在安全合规性、一致性、质量和开发速度方面实现快速提升。

GitHub 代码扫描集成

Secure Code Warrior 开发了一款 GitHub Action，将情境化学习引入了 GitHub 代码扫描。这意味着开发人员可以使用 Snyk Container Action 等第三方操作来发现漏洞，并利用针对 CWE 的高度相关学习内容来增强扫描结果。

Secure Code Warrior GitHub Action 可处理行业标准的 SARIF 文件，并根据 SARIF 规则对象中的 CWE 引用附加情境化学习内容。这不仅使开发和安全团队能够发现漏洞，还能利用可操作的知识丰富受支持的 SAST 工具报告，从而帮助他们防止 漏洞再次发生。

准备好亲自尝试了吗？

直接从 GitHub Marketplace 免费获取该操作 点击此处。
了解更多关于 Secure Code Warrior GitHub Action 的信息，请 点击此处。