مراجعة كود OSS

الغرض ونية المستخدم: يخَصّص أداة OSS Code Review تحليل المستودعات لتقييم الامتثال الترخيصي، وضع الأمان، مخاطر الترخيص وجودة البرمجيات في مشاريع OSS. المستخدمون المستهدفون: مُطوّرو البرمجيات، مهندسو الأمن، فرق الحوكمة، وممارسو CI/CD الذين يقيمون اعتمادًا مرشحًا أو PR أو إصدارًا جديدًا. تُستخدم أثناء فحوص ما قبل الدمج، تطبيق السياسة، أو عمليات تدقيق دورية للكشف عن نتائج قابلة للتنفيذ قبل دخول التغييرات إلى الإنتاج.
المنطق الأساسي والميزات: إنشاء SBOM (قائمة مكونات البرمجيات)، اكتشاف التراخيص عبر خرائط متوافقة مع SPDX وربطها بالثغرات المعروفة من الإرشادات العامة. يتم حساب درجة مخاطر وتحديد المكونات ذات الأولوية العالية. المتطلبات الأساسية: وصول للمستودع، محولات لغة، محرك قواعد وتقريرات قابلة للتصدير. القدرات المتقدمة (اختيارية): قوالب سياسات قابلة للتخصيص، فحوص جزئية/متزايدة، تكامل CI، إرشادات الإصلاح ولوحات قيادة عبر المستودعات. القيمة الفريدة: الحوكمة المدمجة—ثلاثية التراخيص، وضع الأمان وإشارات القابلية للصيانة في مسار واحد، مما يقلّص زمن دورة مراجعة الامتثال.
المدخلات/المخرجات: المدخلات: repository_url (سلسلة، مطلوبة)، target_branch (سلسلة، اختياري، الافتراضي: main)، access_token (سلسلة، اختياري)، authentication_type (سلسلة، اختياري)، languages (مصوفة، مثل [JavaScript, Python]), include_paths (مصوفة، اختياري). المخرجات: summary_report (كائن) مع risk_score و issues، licenses_map (كائن)، remediation_steps (مصوفة) وSBOM اختياري (JSON من نوع SPDX). التحقق: يجب أن يتاح المستودع، أن تكون الرموز صالحة وتدعم اللغات المكتشفة؛ إذا لم يكن كذلك، تُعاد نتائج جزئية مع تشخيصات.
الخوارزميات/الحسابات: إنشاء SBOM؛ اكتشاف الرخص عبر SPDX؛ بناء مخطط الاعتماد؛ مطابقة الثغرات مع تحذيرات CVE؛ واستخدام قيَم صيانة. Risk_score مركب وزني: 0.4 مخاطر الرخصة + 0.5 مخاطر الأمان + 0.1 مخاطر القابلية للصيانة، مقرب إلى عدد صحيح. النتائج تتضمن علامات مخاطر لكل مكوّن واقتراحات الإصلاح.
الأخطاء والحالات الحدّية: معالجة مدخلات مفقودة أو غير صالحة، مستودعات خاصة، توكنات منتهية، حدود API وغياب بيانات خارجية. دعم اللغة غير المكتمل ينتج فحصًا جزئيًا مع تشخيص. المستودعات الخاصة تتطلب توكنات صالحة؛ فشلات الشبكة تُنتج رموز خطأ هيكلية وتحذيرات، وليست رسائل واجهة مستخدم.
الصناعة/التوطين: يتبع معايير SPDX وتنسيقات SBOM. يدعم أنظمة OSS الشائعة ومزودي استضافة Git (GitHub، GitLab، Bitbucket). التوطين نصي فقط؛ المقاييس الرقمية تستخدم مقياس 0–100 مع تسميات إنجليزية.
الافتراضات والاستثناءات: يفترض وجود بيانات المستودع وتحديثات advisories؛ يستبعد تشغيل الكود في وقت التشغيل، التحليل الديناميكي أو إدراج تغييرات كود. ليس فحصاً قانونياً للترخيص؛ يعرض انتهاكات السياسة للمراجعة البشرية وت gating CI.