GitLab 13.1强化警示管理,加入程序代码安全扫描工具

GitLab最新的13.1版本,其更新重点在于警示管理功能,让开发团队更有条理的管理警示生命周期,并且提供开发者新工具,改善程序代码品质,同时官方也把Brakeman SAST扫描工具搬到了免费的Core层级,使所有Rails开发人员,都可以利用该工具扫描程序内已知漏洞,官方也承诺,他们会陆续在Core层级加入其他开源的SAST工具。

GitLab新加入的警示管理工具,在同一接口汇总多个IT服务警示,让开发团队可以对警示分类,依优先等级来处理各种突发状况。官方提到,开发团队通常必需要操作多种工具,评估不同的资料源,并且收集和评估指标与日志等资料,在团队中要共享这些资料,通常需要复制粘贴各种资料到单一维修单(Ticket)上,以便通知所有相关人士。

这过程不少工作需要人工手动操作,难免会出错甚至遗漏重要警示,而GitLab警示管理工具便能减轻这些负担,该工具会对警示进行分类,开发者可以查看详细的警示内容,并将警示分派给团队成员,而成员处理后,也能更新警示状态或执行其他后续操作。由于GitLab添加了Slack通知服务的命令,因此开发团队可以通过Slack,将警示转送给特定成员,并在Slack与相关人员直接进行沟通与协作。

在改善程序代码品质的功能上,GitLab让Ruby开发人员用TestFileFinder gem,寻找修改后的程序代码测试,并在工作管线中优先进行测试,以加快迭代速度,官方提到,像是GitLab这种大型项目,开发人员通常需要等上45分钟,才能看到新单元通过测试,这种漫长的等待会拖慢开发速度,甚至让开发者选择跳过自动化测试,而新功能可以让开发者,更快看到新编写的程序代码测试状况。

开发者现在也能更容易地在GitLab程序代码页面中,查询程序代码对象的定义,GitLab添加了好用的程序代码审查工具Code Intelligence,可快速提供程序代码的参照与定义。官方提到,程序代码审查是很重要的工作,可以确认程序代码是否以可维护的方式撰写,但是由上而下浏览程序代码文件缺乏效率,因为程序代码通常有复杂的相依项目,函数与函数库会被重复使用,程序代码会互相参照,而审查程序代码的目的便是在了解这些关系。

因现在于GitLab中,不需要使用外部工具与资源,或是专门的IDE,Code Intelligence让开发人员在撰写程序代码,或是查看现有程序代码时,能够简单地浏览定义,这项功能在审查新程序代码,以及审查整合请求的程序代码变更时特别好用。

在GitLab 13.1中,Rails漏洞扫描工具Brakeman SAST,已经被搬到了Core层级,该工具使用静态应用程序安全测试(SAST)方法,在开发人员撰写程序代码时,可识别出常见的安全性问题,并且主动提供解决办法。官方提到,他们会陆续将其他开源的SAST分析工具,添加到Core层级中。