Varnostna preverjanja, ki jih produkt prevzame z gradnikom za CI/CD

Pregled skrivnosti, preverjanje paketov NuGet in preverjanje naslovov, ki morajo po namestitvi ostati zaprti, smo 19. oktobra 2026 prenesli iz cevovodov naših produktov v gradnik za CI/CD. Produkt, ki začne z Reputovim cevovodom, ima vsa tri preverjanja že od prvega cevovoda. Vstopno preverjanje uporabniškega vmesnika je npm audit poganjalo že prej.

Tri preverjanja v gradniku

Gradnik za CI/CD 1.1.0 doda komponento secret-scan, ki z orodjem gitleaks pregleda nove potrditve v cevovodu: pri zahtevi za združitev njene potrditve, na veji pa vse od njenega prejšnjega stanja. Ne čaka na nobeno drugo opravilo, zato gradnje nikoli ne zadržuje. Komponenta dotnet-test takoj po obnovi paketov zažene dotnet list package --vulnerable --include-transitive in pade ob ranljivosti visoke ali kritične stopnje. Pregled uporabi isto obnovo, zato traja le nekaj sekund in ne zahteva druge. Izklopi se z vhodnim parametrom vulnerability_scan: false, ki ga dokumentacija gradnika dovoli samo z razlogom in datumom v cevovodu produkta.

Različica 1.2.0, izdana isti dan, komponenti deploy doda vhodni parameter closed_urls, seznam naslovov, ki morajo po namestitvi vrniti 401, 403 ali 404. Odgovor 2xx ali 3xx preverjanje takoj označi kot neuspešno, brez ponovnih poskusov.

Prevzeto na dan izdaje

Reputo in Leadgener sta popoldne prešla na različico 1.1.0. Oba cevovoda sta zagnala pregled skrivnosti in pregled paketov NuGet; noben pregled ni ničesar našel.

Zvečer sta oba produkta na gradniku za CI/CD 1.3.0 v closed_urls navedla tri naslove: skrbniško konzolo strežnika za identiteto, njegov realm master in stran Swagger. Vsaka namestitev zdaj dokaže, da ostanejo zaprti: Reputova namestitev v razvojno okolje ob 17.43 UTC in Leadgenerjeva ob 17.47 UTC sta vse tri zabeležili kot zaprte (404).

Preverjanje je v gradniku, pravila pa ne, in to namerno: kaj naslov zapre, se od produkta do produkta razlikuje (pravilo v prehodu, nastavitve API-ja), ali je zaprt, pa je povsod isto vprašanje. Nov produkt, ki prevzame Reputov cevovod, z njim podeduje tudi vse tri naslove, zato se njegova prva namestitev konča z napako, če kaj od tega, kar jih zapira, manjka.