Copilot Autofix für das Codescanning (Vorschau)

Copilot Autofix ist ein KI-gestütztes Feature von GitHub Advanced Security for Azure DevOps, das vorgeschlagene Korrekturen für Codescanbenachrichtigungen generiert. Wenn CodeQL einen Sicherheitsrisiko- oder Codierungsfehler identifiziert, können Sie direkt über die Registerkarte "Erweiterte Sicherheit" einen Fix für die Warnung generieren. Copilot Autofix verwendet den Copilot-Codierungs-Agent, um den Fix zu erstellen und eine Pullanforderung mit der vorgeschlagenen Änderung zu öffnen, sodass Sie sie über Ihren normalen Pullanforderungsworkflow überprüfen, bearbeiten und zusammenführen können.

GitHub Advanced Security for Azure DevOps funktioniert mit Azure Repos. Informationen zur Verwendung von GitHub Advanced Security mit GitHub-Repositorys finden Sie unter GitHub Advanced Security.

Voraussetzungen

Weitere Informationen zu Erweiterten Sicherheitsberechtigungen finden Sie unter "Verwalten erweiterter Sicherheitsberechtigungen".

• Codeüberprüfung, die für Ihr Repository konfiguriert ist, entweder mithilfe des Standardsetups oder des erweiterten Setups.
• Mindestens eine CodeQL-Codeüberprüfungswarnung.
• Die Repository-Berechtigung Erweiterte Sicherheit: Warnungen anzeigen für den Benutzer, der Korrektur generieren auswählt.
• Zugriff auf den Azure Pipelines Agentpool. Copilot Autofix reiht einen Microsoft-gehosteten Pipeline-Job in die Warteschlange ein, um die Fehlerbehebung zu generieren und zu veröffentlichen. Für die Ausführung ist ein verfügbarer paralleler Auftrag erforderlich. Wenn alle parallelen Aufträge belegt sind, bleibt der Fix in der Warteschlange, bis wieder Kapazität verfügbar ist.

Copilot Autofix führt Repositoryvorgänge mithilfe einer dedizierten Identität namens GitHub Copilot ({organization}) aus, nicht mit einem Projekt- oder Sammlungs-Builddienstkonto. Der Dienst gewährt der Identität automatisch die folgenden Berechtigungen:

Sie müssen einem Build-Service-Konto diese Berechtigungen nicht gewähren. Wenn Ihre Organisation explizite Verweigerungsberechtigungen verwendet, überprüfen Sie, ob sie die GitHub Copilot ({organization}) Identität nicht blockieren.

Informationen zu Copilot Autofix

Copilot Autofix kombiniert die Analyseleistung von CodeQL mit dem großen Sprachmodell, das den Copilot Codierungs-Agent unterstützt. Wenn Sie einen Fix für eine unterstützte Codeüberprüfungswarnung generieren, analysiert Copilot Autofix die Warnung und den umgebenden Code und öffnet dann eine Pullanforderung, die Folgendes enthält:

• Eine vorgeschlagene Codeänderung , die die zugrunde liegende Sicherheitsanfälligkeit behebt.
• Eine Beschreibung der Warnung, die behoben wird, einschließlich der Warnungs-ID, des Schweregrads und einer Zusammenfassung der Änderung.

Da die vorgeschlagene Lösung den breiteren Kontext Ihrer Codebasis berücksichtigt, kann die Änderung mehr als die einzelne Zeile umfassen, in der die Warnung ausgelöst wurde, und änderungen an anderen Dateien bei Bedarf enthalten.

Unterstützte Sprachen

Copilot Autofix unterstützt dieselben Sprachen wie CodeQL für die Codeüberprüfung, einschließlich C/C++, C#, Go, Java/Kotlin, JavaScript/TypeScript, Python, Ruby und Swift. Die aktuelle Liste der von CodeQL unterstützten Sprachen finden Sie unter Sprach- und Abfrageunterstützung.

Billing

Copilot Autofix ist in Ihrer GitHub Advanced Security für Azure DevOps-Lizenz enthalten. Das Generieren einer Problembehebung belastet den Azure-Abrechnungszähler Ihrer Organisation mit KI-Credits.

Jede Fixgenerierung verwendet Token, einschließlich Eingabetoken für den an das Modell gesendeten Codekontext, Ausgabetoken für die vorgeschlagene Änderung und zwischengespeicherte Token, die vorhandenen Kontext wiederverwenden.

Um die Abrechnung einfach zu halten, werden diese Token in eine Standardeinheit umgewandelt, die als GitHub AI-Gutschrift bezeichnet wird, wobei 1 Gutschrift 0,01 USD entspricht. Die Gebühren werden dem Azure Abonnement in Rechnung gestellt, das mit Ihrer Azure DevOps Organisation verknüpft ist und als separater Meter in Azure Cost Management angezeigt wird.

Die Kosten für jeden Fix variieren je nach Größe des umgebenden Codekontexts und der Komplexität der Änderung.

Um Ihre täglichen Kosten zu überwachen, navigieren Sie im Azure-Portal zu >>Kostenanalyse.

Aktivieren von Copilot Autofix

Sie können Copilot Autofix auf Organisation-, Projekt- oder Repositoryebene aktivieren. Wenn Sie Autofix in einem breiteren Bereich aktivieren, gilt die Einstellung für alle Repositorys innerhalb dieses Bereichs. Wählen Sie aus, wo Autofix basierend auf den Repositorys konfiguriert werden soll, auf die die Einstellung angewendet werden soll:

So aktivieren Sie Copilot Autofix:

1. Melden Sie sich bei Ihrer Azure DevOps-Organisation (https://dev.azure.com/{yourorganization}) an.
2. Wechseln Sie zur Einstellungsseite für den Organisations-, Projekt- oder Repositorybereich, den Sie konfigurieren möchten.
3. Im Abschnitt Erweiterte Sicherheit öffnen Sie den Bereich Code-Sicherheitsfunktionen.
4. Aktivieren Sie das Kontrollkästchen Autofix für Codescanbenachrichtigungen, um automatische Korrekturen für Codescanbenachrichtigungen zu erstellen, die vom Copilot Codierungs-Agent generiert werden.
5. Wählen Sie Übernehmen, um die Änderungen zu speichern.

CodeQL muss für das Repository bereits laufen und Warnungen generieren. Weitere Informationen finden Sie unter Codescanning einrichten und GitHub-Advanced-Security-Features konfigurieren.

Fehlerbehebung für eine Warnung generieren

Nachdem Sie Copilot Autofix aktiviert haben, können Sie einen Fix aus jeder unterstützten Codeüberprüfungswarnung generieren.

1. Wählen Sie Repos>Advanced Security aus.
2. Wählen Sie die Registerkarte „Codescan“ aus, und wählen Sie dann eine Warnmeldung aus, um deren Detailansicht zu öffnen.
3. Überprüfen Sie den Ort, die Beschreibung und die Empfehlung der Warnmeldung, um den Befund zu verstehen.
4. Wählen Sie Korrektur generieren aus.

Während Copilot Autofix an der Behebung arbeitet, zeigt die Warnungsdetailansicht an, dass die Behebung im Gange ist. Copilot Autofix öffnet eine Pullanforderung, wenn der Fix bereit ist.

Copilot Autofix generiert die Fehlerbehebung und öffnet einen Pull Request aus einem Branch mit dem Namen copilot-autofix/.... Die Pullanforderung wird mit einem Copilot Autofix-Tag beschriftet, mit dem Sie Autofix-Pullanforderungen in der Liste der Pullanforderungen identifizieren können.

Für dieselbe Warnung und denselben Branch kann nur eine Korrektur aktiv sein. Solange eine Anfrage noch aussteht oder ihre Pipeline läuft, ist Fix generieren nicht verfügbar. Wenn gleichzeitig eine andere Anforderung übermittelt wird, zeigt die Warnung an, dass bereits ein Fix generiert wird. Sie können einen weiteren Fix generieren, nachdem die aktive Anforderung erfolgreich war oder fehlschlägt.

Bei CodeQL-Warnungen wird die Pullanforderung automatisch unter "Verwandte Pullanforderungen " in der Warnungsdetailansicht angezeigt und wird weiterhin als Generierungs- und Abschlussfortschritt aktualisiert, sodass Sie die Seite nicht aktualisieren müssen.

Wenn Copilot Autofix keine Codeänderungen für die Warnung erzeugt, erstellt es weder einen Branch noch einen Pull Request und verlinkt auch keinen Pull Request in der Detailansicht der Warnung. Beheben Sie die Warnung in diesem Fall manuell. Weitere Informationen finden Sie unter "Fix" ist nicht verfügbar.

Überprüfen und den Fix zusammenführen

Der Pull Request, den Copilot Autofix öffnet, verhält sich wie jeder andere Pull Request in Azure Repos. Ihre Beschreibung fasst die Warnung zusammen, die durch den Fix behoben wird.

Die Copilot Autofix-Bezeichnung identifiziert Autofix-Pullanforderungen.

1. Öffnen Sie den Pull Request im Abschnitt Zugehörige Pull Requests der Warnung oder über Repos>Pull Requests.
2. Überprüfen Sie die vorgeschlagene Änderung auf der Registerkarte "Dateien " in allen betroffenen Dateien.
3. Passen Sie die Änderung an, wenn Sie sie an Ihren Codestil, Ihre Benennungskonventionen oder Ihre Projektanforderungen anpassen müssen.
4. Genehmigen und abschließen Sie die Pullanforderung über Ihren normalen Überprüfungsworkflow.

Nachdem Sie die Pullanforderung zusammengeführt haben, führen Sie CodeQL in der zusammengeführten Zielverzweigung aus, und laden Sie die neuen SARIF-Ergebnisse hoch. Copilot Autofix führt diese Überprüfung nach dem Zusammenführen nicht aus. Die Warnung wird automatisch geschlossen, nachdem die aktualisierte Analyse die Sicherheitsanfälligkeit nicht mehr meldet.

Fehlerbehebung für Copilot Autofix

Behebung läuft

Die meisten Copilot Autofix-Läufe werden in etwa 2 bis 5 Minuten abgeschlossen. Die Laufzeit kann je nach verfügbarer Pipelinekapazität und Komplexität der Änderung variieren. Wenn alle parallelen Aufträge belegt sind, bleibt die Pipeline in der Warteschlange, und die Warnung zeigt weiterhin Behebung läuft an, bis wieder Kapazität verfügbar ist.

Eine Anforderung, die noch aussteht, bevor eine Pipeline in die Warteschlange gestellt wird, schlägt nach 30 Minuten fehl. Eine in der Warteschlange befindliche oder laufende Pipeline hat ein Timeout von zwei Stunden. Die Warnung wird möglicherweise nicht mehr automatisch aktualisiert, bevor das Back-End-Timeout erreicht ist. Wenn die Warnmeldung noch aktiv ist:

1. Aktualisieren Sie die Benachrichtigungsdetailseite.
2. Wenn Ausführung anzeigen verfügbar ist, öffnen Sie die Pipeline-Ausführung und überprüfen Sie, ob sie in der Warteschlange ist oder ausgeführt wird.
3. Warten Sie, bis die Anfrage den Status „erfolgreich“ oder „fehlgeschlagen“ erreicht. Senden Sie keine weitere Anforderung, während die vorhandene Anforderung aktiv ist.
4. Wenn die Anforderung fehlschlägt, überprüfen Sie die Fehlermeldung, und wählen Sie "Wiederholen" aus , nachdem Sie die Ursache behoben haben.

Pullanforderung erstellt, aber nicht mit der Warnung verknüpft

Die Pullanforderung kann erfolgreich erstellt werden, bevor sie unter "Verwandte Pullanforderungen" angezeigt wird. Aktualisieren Sie die Benachrichtigungsdetailseite. Wenn die Pullanforderung immer noch nicht verknüpft ist, wählen Sie Repos>Pull-Anforderungen aus, und suchen Sie nach:

• Die Copilot Autofix-Bezeichnung.
• Ein Quellzweig, der mit copilot-autofix/ beginnt.
• Ein Pullanforderungstitel, der auf die Codeüberprüfungswarnung verweist.

Überprüfen Sie den Pull-Request und führen Sie ihn im normalen Pull-Request-Workflow zusammen, auch wenn der Link nicht in der Warnmeldung angezeigt wird.

Repository- oder Pullanforderungsvorgänge schlagen fehl

Copilot Autofix erstellt einen flachen Klon des Branches, der mit der Warnung verknüpft ist. Es initialisiert keine Git-Untermodule. Es erstellt einen eindeutig benannten copilot-autofix/... Branch, pusht die generierte Änderung und öffnet einen Pull-Request, der auf den Alert-Branch abzielt.

Verwenden Sie die Ansichtsausführung aus dem Warnungsfehlerstatus, um die Pipelineprotokolle zu überprüfen. In der folgenden Tabelle sind häufige Ursachen und Aktionen aufgeführt:

Eine Korrektur wurde generiert, konnte jedoch nicht committet oder gepusht werden

Copilot Autofix verwendet noreply@dev.azure.com als E-Mail-Adresse des Commit-Autors. Wenn eine Richtlinie zur E-Mail-Validierung des Commit-Autors diese Adresse nicht zulässt, kann Copilot Autofix die Codeänderung zwar generieren, sie jedoch nicht committen oder pushen, um den Pull-Request zu erstellen.

In der Warnungsdetailseite wird ein Fehler angezeigt, der die E-Mail des blockierten Commit-Autors identifiziert.

Fügen Sie noreply@dev.azure.com zu den zulässigen E-Mail-Mustern in der Validierungsrichtlinie für die E-Mail-Adresse des Commit-Autors hinzu:

1. Wählen Sie Projekteinstellungen>Repositories aus.
2. Wählen Sie "Alle Repositorys " aus, um die Richtlinie auf Projektebene zu aktualisieren, oder wählen Sie das Repository mit der Richtlinie aus.
3. Wählen Sie "Richtlinien" aus.
4. Suchen Sie unter Repositoryrichtlinien nach Überprüfung der E-Mail-Adresse des Commit-Autors.
5. Fügen Sie noreply@dev.azure.com zu den zulässigen E-Mail-Mustern hinzu.
6. Kehren Sie zur Codescanning-Warnung zurück und wählen Sie Fehlerbehebung erneut versuchen.

Die Ausführung schlägt fehl

Wenn eine Copilot Autofix-Ausführung nicht abgeschlossen werden kann, zeigt die Warnung einen prominenten Fehlerstatus an, sodass Sie schnell sehen können, dass die Ausführung nicht erfolgreich war. Im Fehlerstatus können Sie den Lauf erneut starten, um eine neue Korrektur zu generieren.

Eine Ausführung kann aus vorübergehenden Gründen fehlschlagen oder wenn die Ausführung keine verwendbare Codeänderung erzeugt. Wiederholen Sie die Ausführung, um den Fix erneut zu generieren.

Eine Warnmeldung bleibt offen, nachdem Sie die Fehlerbehebung zusammengeführt haben.

Durch das Zusammenführen einer Autofix-Pullanforderung wird die Warnung erst geschlossen, wenn eine spätere CodeQL-Analyse den zusammengeführten Code verarbeitet. Wenn die Warnung geöffnet bleibt:

1. Stellen Sie sicher, dass der Pull Request in denselben Branch zusammengeführt wurde, in dem die Warnung erkannt wurde.
2. Vergewissern Sie sich, dass eine CodeQL-Überprüfung nach dem Zusammenführen ausgeführt und der zusammengeführte Commit analysiert wurde.
3. Vergewissern Sie sich, dass der Scan die SARIF-Ergebnisse erfolgreich für das richtige Repository und den richtigen Branch hochgeladen hat.
4. Überprüfen Sie die neuen Ergebnisse, um zu überprüfen, ob die Sicherheitsanfälligkeit nicht mehr erkannt wird.
5. Wenn die Sicherheitsanfälligkeit noch vorhanden ist, aktualisieren Sie den Fix, und führen Sie CodeQL erneut aus.

Fehlerbehebung ist nicht verfügbar

Copilot Autofix kann für jede Warnung keinen Fix generieren. Ein Fix ist möglicherweise nicht verfügbar, wenn:

• Der Warnungstyp wird derzeit nicht von Copilot Autofix unterstützt.
• Copilot stellt fest, dass es sich bei der Warnung um einen Fehlalarm handeln könnte.
• Eine benutzerdefinierte Abfrage oder ein Drittanbietertool anstelle von CodeQL generiert die Warnung.
• Copilot Autofix wird ausgeführt, erzeugt aber keine Codeänderungen. In diesem Fall wird kein Branch und kein Pull Request erstellt.

Wenn Copilot Autofix feststellt, dass die Warnung falsch positiv sein könnte und keine Änderungen erzeugt, zeigt die Warnungsdetailseite das Ergebnis an. Sie können die Ausführung überprüfen oder den Fix wiederholen.

Wenn ein Fix nicht verfügbar ist, verwenden Sie die Abschnitte "Empfehlung " und " Beispiel " der Warnung, um sie zu beheben oder die Warnung manuell zu schließen. Weitere Informationen finden Sie unter Warnungsdetails.

Verwandte Artikel

• Einrichten des Code-Scans
• Fehlerbehebung beim Code-Scan
• Verwenden von benutzerdefinierten Abfragen und Abfragepaketen
• GitHub Advanced Security-Funktionen konfigurieren
• Weitere Informationen zu GitHub Advanced Security for Azure DevOps