Encontrando vulnerabilidades existentes no código

O chat do Copilot pode ajudar a encontrar vulnerabilidades comuns em seu código e sugerir correções.

Neste artigo

Embora possam ser consideradas "conhecimento comum" por muitos desenvolvedores, a grande maioria das falhas de segurança recém-introduzidas se deve a vulnerabilidades, como script entre sites (XSS), injeção de SQL e falsificação de solicitação entre sites (CSRF). Essas vulnerabilidades podem ser mitigadas seguindo práticas de codificação seguras, como usar consultas parametrizadas, validar as entradas e evitar dados embutidos em código. GitHub Copilot pode ajudar a detectar e resolver esses problemas.

Observação

Embora o Chat Copilot possa ajudar a encontrar algumas vulnerabilidades de segurança comuns e a corrigi-las, você não deve depender do Copilot para uma análise de segurança abrangente. O uso da code scanning garantirá mais definitivamente a segurança de seu código. Para obter mais informações sobre como configurar o code scanning, consulte Como definir a configuração padrão da verificação de código.

Cenário de exemplo

O código JavaScript abaixo tem uma vulnerabilidade de XSS potencial que pode ser explorada quando o parâmetro name não é devidamente higienizado antes de ser exibido na página.

function displayName(name) {
  const nameElement = document.getElementById('name-display');
  nameElement.innerHTML = `Showing results for "${name}"`
}

Solicitação de exemplo

Você pode pedir que o Chat Copilot analise o código para detectar vulnerabilidades comuns de segurança e fornecer explicações e correções para os problemas encontrados.

Copilot prompt
Analyze this code for potential security vulnerabilities and suggest fixes.

Exemplo de resposta

Observação

A resposta a seguir é um exemplo. Respostas do Chat Copilot são não determinísticas, portanto, você pode obter uma resposta diferente da mostrada aqui.

O Copilot responde com uma explicação da vulnerabilidade e sugere alterações no código para corrigi-la.

function displayName(name) {
  const nameElement = document.getElementById('name-display');
  nameElement.textContent = `Showing results for "${name}"`;
}

Leitura adicional