풀 리퀘스트 검사
PR 검사를 통한 자동 보안 스캔 소개
Snyk PR 검사 기능을 사용하면 개발자가 코드를 머지하기 전에 PR에서 이슈를 자동으로 스캔할 수 있습니다. Snyk은 자동화된 가상 팀원("전문 보안 리뷰어") 역할을 하여 잠재적인 문제를 찾아내고 코드가 커밋되기 전에 PR에 리뷰 노트를 남깁니다.
PR은 개발 프로세스에서 코드 리뷰가 이루어지는 지점이며, PR 검사를 통해 보안 스캔을 개발자 워크플로우에 통합함으로써 개발 팀에 권한을 부여하고 배포된 코드에서 보안 문제가 발생하는 것을 방지할 수 있습니다.
Snyk 풀 리퀘스트 경험의 일부인 Snyk 이슈 요약 코멘트(Issue Summary Comment) 기능을 사용하면 각 풀 리퀘스트에서 PR 코멘트를 받을 수 있습니다. 이 코멘트는 검사 유형에 따른 최신 PR 검사 결과와 심각도별 발견 사항 수를 요약하여 보여줍니다. 이를 통해 풀 리퀘스트에서 PR 검사 스캔 결과에 대한 추가 정보를 직접 확인할 수 있어 컨텍스트 전환을 줄여줍니다.
변경 사항 테스트
Snyk PR 검사 기능을 사용하면 현재 코드베이스에 대한 변경 사항을 테스트하여 해당 변경이 문제를 유입시키는지 확인할 수 있습니다. 이러한 변경 사항 테스트를 통해 지속적으로 코드베이스의 보안을 더 쉽게 유지할 수 있습니다.
개발자에게 변경 관련 결함은 관련성이 높고 수정하기 쉬우며, 누적된 결함보다 변경 관련 결함을 수정하는 것이 안전한 코드를 출시하는 데 더 유리합니다. 개발 프로세스 초기 단계에서 보안 문제를 감지하고, 새로운 코드를 작성한 직후 테스트 결과를 확인하며, 문제가 발생할 때마다 즉시 찾아 수정할 수 있습니다. 이 모든 과정이 기본 워크플로우 내에서 이루어집니다.
"이전" 및 "이후" 테스트
Snyk PR 검사 기능은 PR이 포함된 "이전 및 이후" 브랜치에 대해 라이브 테스트를 실행하며, 새로운 브랜치에 더 많은 이슈가 있는 경우에만 실패합니다. 이를 통해 지난 스캔 이후에 도입된 문제(예: 외부에서 유입된 새로운 취약점)를 해결할 수 있습니다. Snyk PR 검사는 코드 변경에 의해 트리거되며 전체 리포지토리에서 이슈를 찾습니다. 따라서 PR 검사는 코드의 이슈뿐만 아니라 마지막 Snyk 스캔 이후 도입된 다른 이슈도 찾아냅니다. SCM(소스 코드 관리 도구)에서 풀 리퀘스트(PR)를 제출하는 즉시 코드 변경 사항을 실시간으로 자동 스캔하여 새로운 보안 문제가 코드베이스에 유입되는 것을 방지하려면 Snyk PR 검사 기능을 사용하십시오.
PR 검사 사용 이유
자동으로 스캔되는 풀 리퀘스트
풀 리퀘스트가 제출되는 즉시 실시간으로 코드 변경 사항을 스캔하여 프로덕션에 반영되기 전에 잠재적인 문제를 포착합니다.
소스 코드 관리 도구에 표시되는 결과
Snyk이 풀 리퀘스트에 남긴 보안 리뷰와 노트를 활용합니다.
보안 이슈에 대한 코드 변경 테스트
코드베이스의 변경 사항에 대해 보안 이슈를 테스트하여 시간이 지나도 코드가 안전하게 유지되도록 합니다.
브랜치 테스트
변경 사항을 구현하기 전후의 브랜치를 테스트하여 새로운 브랜치에 이슈가 도입된 경우에만 실패하도록 합니다. 보안 이슈로 인해 실패한 풀 리퀘스트의 머지를 방지합니다. Snyk은 모니터링되는 리포지토리에 대한 모든 풀 리퀘스트를 모니터링합니다.
테스트 대상
SCM에서 PR 검사 결과를 분석하여 Snyk Open Source를 사용한 종속성 및 라이선스 이슈와 Snyk Code를 사용한 코드 보안을 테스트할 수 있습니다.
PR 검사 작동 방식
다음 다이어그램은 개발 워크플로우에서 Snyk이 PR을 검사하는 방법을 설명합니다.
PR 검사는 다음과 같이 진행됩니다.
개발자가 Snyk과 통합된 SCM에서 풀 리퀘스트(PR)를 생성합니다.
SCM에서 Snyk으로 웹훅이 트리거됩니다.
Snyk은 PR의 코드 변경 사항에서 이슈를 자동으로 스캔합니다.
Snyk은 PR에 보안 리뷰와 노트를 남깁니다.
개발자는 코드를 머지하기 전에 PR 검사 결과를 확인하고 식별된 이슈를 수정할 수 있습니다.
PR 검사 결과는 SCM에 직접 통과(Passed) 또는 **실패(Failed)**로 표시되어 보안 이슈가 있는 PR이 머지되는 것을 방지합니다.
PR 검사 작업에 대한 자세한 내용은 다음 페이지를 참조하십시오.
Last updated