משימה 9: אבטחה ובחינת קוד

במשימה הזאת מנסים כלים שבוחנים את הקוד ואת ה‑image, ומשאירים את אלה ששווים check נדרש.

סרקו את הקוד

• ‏CodeQL ‏(GitHub code scanning) ל‑Python.
• ‏Bandit. TODO: או Semgrep.

סרקו את ה‑dependencies

• ‏Dependabot alerts ו‑version updates.
• ה‑dependency review action על pull requests.
• ‏pip-audit.

סרקו secrets

• ‏GitHub secret scanning ו‑push protection. TODO: או gitleaks ב‑workflow.

סרקו את ה‑image

• ‏Trivy על ה‑image שנבנה ב‑image-build; נכשל על ממצאים high ו‑critical.

שתלו ממצא, וצפו בו נתפס

• TODO: ‏dependency ישן ופגיע, key כתוב בקוד, קריאה לא בטוחה. אחד לכל כלי.

בחרו את ה‑checks הנדרשים

• אילו כלים חוסמים את ה‑merge, ואילו רק מדווחים. TODO
• רשות: ‏SonarQube Cloud לאיכות קוד.