È necessario garantire che tutto il codice in un repository GitHub venga scansionato per rilevare vulnerabilità. Quale funzionalità si dovrebbe usare?

CodeQL actions sono la scelta corretta perché forniscono un'analisi statica del codice (SAST) per rilevare vulnerabilità di sicurezza e errori nel codice sorgente. Si integrano direttamente nel flusso di lavoro CI/CD di GitHub, eseguendo scansioni ad ogni push o pull request. Questo assicura che tutto il codice venga esaminato per potenziali problemi di sicurezza prima di essere unito. Dependabot alerts si concentra sulla scansione delle dipendenze del progetto per vulnerabilità note, non sul codice sorgente scritto dagli sviluppatori. Le branch protection rules servono a imporre requisiti per la fusione del codice (ad esempio, revisioni obbligatorie), ma non eseguono scansioni di sicurezza del codice stesso. GitHub Advisory Database è un database di vulnerabilità note, non uno strumento di scansione attiva del codice.