OSS Revisione del Codice

Scopo e intento utente: lo strumento OSS Code Review analizza repository per valutare conformità licenze, postura di sicurezza, rischio licenze e qualità software nei progetti OSS. Utenti target includono manutentori software, ingegneri della sicurezza, team di governance e praticanti CI/CD che valutano una dipendenza candidata, una PR o una nuova versione. Viene utilizzato durante controlli pre-merge, enforcement delle policy o audit periodici per rivelare findings azionabili prima che le modifiche entri in produzione.
Logica centrale e funzionalità: genera una SBOM (Software Bill of Materials), rileva licenze tramite mapping compatibili SPDX e ricava correlazioni con vulnerabilità note da avvisi pubblici. Calcola un punteggio di rischio e evidenzia componenti ad alta priorità. Funzioni obbligatorie: accesso al repository, parser linguaggio-aware, motore di regole e report esportabili. Funzionalità avanzate (opzionali): modelli policy personalizzabili, scansioni incrementali/parziali, integrazione CI, guida alla remediation e dashboard cross-repository. Vantaggio unico: governance integrata: triade licenze, postura di sicurezza e segnali di manutenibilità in un flusso unico, riducendo i tempi di revisione di conformità.
Input/Output: input: repository_url (stringa, obbligatorio), target_branch (stringa, opzionale, default: main), access_token (stringa, opzionale), authentication_type (stringa, opzionale), languages (array, es. [JavaScript, Python]), include_paths (array, opzionale). Output: summary_report (oggetto) con risk_score e issues, licenses_map (oggetto), remediation_steps (array) e opzionale sbom (JSON tipo SPDX). Validazione: il repository deve essere raggiungibile, token validi e parser supportino i linguaggi rilevati; in caso contrario, risultati parziali con diagnostica.
Algoritmi e calcoli: generazione SBOM; rilevamento licenze tramite SPDX; costruzione grafo dipendenze; matching vulnerabilità con CVE; heuristics di manutenibilità. Risk_score è combinazione pesata: 0,4[licenze] + 0,5[sicurezza] + 0,1[manutenibilità], arrotondato all’intero. Uscite includono flag di rischio per componente e remediation suggerite.
Errori e casi limite: gestione di input mancanti o non validi, repo privati, token scaduti, rate limit API e indisponibilità dati esterni. Supporto linguistico incompleto porta a scan parziali con diagnostica. Repo privati richiedono token validi; errori di rete producono codici di errore strutturati e avvisi, non messaggi UI.
Industria/Localizzazione: segue standard SPDX e formati SBOM. Supporta ecosistemi OSS comuni e fornitori di hosting Git (GitHub, GitLab, Bitbucket). Localizzazione solo testuale; metriche numeriche su scala 0–100 con etichette in inglese.
Assunzioni ed esclusioni: presuppone dati accessibili del repository e advisory aggiornati; esclusa esecuzione runtime, analisi dinamica o modifiche di codice incorporate. Non è una verifica legale di licenze; espone violazioni di policy per revisione umana e gating CI.