Qodo 가이드

Qodo에서 Snyk의 MCP 서버를 포함한 Snyk Studio에 액세스하여 LLM을 통한 에이전틱(agentic) 워크플로우로 생성된 코드를 보호할 수 있습니다. 이는 여러 가지 방법으로 달성할 수 있습니다. 처음 사용하는 경우, MCP 서버는 신뢰를 요청하고 필요한 경우 인증을 트리거합니다.

전제 조건

• 코드 어시스턴트 확장 프로그램 설치

• Snyk CLI 설치

• Qodo에 Snyk MCP 서버 설치

Qodo 설치

VS Code 또는 JetBrains IDE에 Qodo 확장 프로그램을 추가합니다. 자세한 내용은 공식 Qodo.ai 페이지를 참조하십시오.

Qodo에 Snyk MCP 서버 설치

운영 체제 및 로컬 개발 환경에 가장 적합한 방법을 사용하여 Snyk MCP 서버를 설치하십시오.

Qodo 채팅창에서 Add MCP tools > Add new MCP를 클릭합니다. Snyk MCP 서버에 필요한 세부 정보를 입력합니다.

• MCP 서버 이름

• command: npx 또는 Snyk CLI의 전체 경로.

• args: MCP 서버를 시작하기 위한 Snyk MCP 명령.

npx 옵션:

{
    "Snyk": {
        "command": "npx",
        "args": ["-y", "snyk@latest", "mcp", "-t", "stdio"]
    }
}

전체 경로(full path) 옵션:

{
    "Snyk": {
      "command": "/절대/경로/snyk",
      "args": ["mcp", "-t", "stdio"],
  }
}

전체 경로 옵션의 경우, snyk 명령을 사용할 수 없다면 Snyk CLI 설치 또는 업데이트 페이지의 지침에 따라 추가하십시오.

다음 예시는 성공적으로 구성된 Snyk MCP 서버를 보여줍니다.

VS Code의 추가 MCP 구성 옵션 및 문제 해결에 대해서는 공식 VS Code MCP 서버 문서를 참조하십시오.

Snyk MCP 서버 설정

일회성 설정으로, 현재 프로젝트 디렉토리를 인증하고 신뢰해야 할 수 있습니다. 필요한 경우 에이전틱 워크플로우가 이를 자동으로 관리할 가능성이 높습니다.

이러한 워크플로우는 대부분 기본 모델과 에이전틱 코드 어시스턴트에 의해 자동으로 실행되며, 브라우저 확인 대화 상자를 사용하여 이를 승인해야 합니다. 프로세스는 다음과 유사해야 합니다.

현재 디렉토리를 인증하고 신뢰해야 하는 경우, 프로세스를 진행하고 완료하십시오.

예시

보안 취약점 스캔

채팅에서 특정 파일이나 함수를 태그하고 Qodo에게 프로덕션 배포를 위해 코드를 스캔하도록 요청할 수 있습니다.

prompt

이 디렉토리의 코드 보안 및 종속성 취약점과 보안 이슈를 스캔해줘

Qodo는 이 요청이 보안 취약점 스캔과 관련이 있음을 나타내고 다양한 스캔을 위해 Snyk MCP 서버를 호출합니다.

Qodo는 코드(SAST) 및 종속성(SCA)에 대한 모든 보안 스캔 결과를 수집할 수 있으며, Snyk MCP 서버가 제공하는 권장 사항과 컨텍스트 정보를 기반으로 발견된 보안 취약점 중 일부 또는 전부를 해결하는 코드 변경 사항을 제공할 수 있습니다.

"초기 보안(Secure at inception)" 규칙

초기 보안을 실천하기 위해, Snyk은 안전한 코드 생성 및 워크플로우를 위해 LLM을 정렬하는 규칙을 채택할 것을 권장합니다.

다음은 Qodo 모범 사례를 위한 권장 지침입니다. best_practices.md에 있는 규칙 파일에 다음 내용을 추가하십시오.

best_practices.md

---
applyTo: "**"
---

# 프로젝트 보안 모범 사례

- Snyk이 지원하는 언어로 생성된 새로운 자사 코드에 대해서는 항상 **snyk_code_scan** 도구를 실행하십시오.
- 새로 도입되거나 수정된 코드 또는 종속성에 기반하여 보안 이슈가 발견되면, **Snyk**의 결과 컨텍스트를 사용하여 이슈 수정을 시도하십시오.
- 이슈를 수정한 후 코드를 다시 스캔하여 이슈가 해결되었는지, 그리고 새로 도입된 이슈가 없는지 확인하십시오.
- 새로운 이슈가 발견되지 않을 때까지 이 과정을 반복하십시오.

Qodo 워크플로우

보안 취약점을 스캔하고 해결하기 위한 맞춤형 Snyk 워크플로우를 생성합니다. 다음은 Qodo 워크플로우를 위한 권장 지침입니다. Qodo 에이전트 파일 remediate-snyk-studio.toml에 다음 내용을 추가하십시오.

# 에이전트 구성 표준 버전
version = "1.0"

[commands.remediate]
available_tools = [
  "Snyk",
  "Code Navigation",
  "filesystem",
  "git",
  "Terminal",
  "Web Search"
]
description = "Snyk Studio를 사용하여 애플리케이션 보안 이슈 해결"
instructions = """
당신은 안전한 코드를 개발하는 전문가입니다. Snyk은 이 애플리케이션에서 여러 SAST 및 SCA 이슈를 발견했습니다.

다음을 수행하십시오:

1. Snyk을 사용하여 이슈에 대한 컨텍스트를 파악합니다.
2. 모든 이슈를 수정합니다.
3. Snyk을 다시 사용하여 이슈가 수정되었는지 확인합니다. 이슈가 해결되지 않았다면 이전 단계로 돌아갑니다.
4. 앱을 빌드하고 유닛 테스트를 실행하여 기능이 손상되지 않았는지 확인합니다. 완료되면 제가 실행하여 추가 검증을 수행하겠습니다.

감사합니다!"""
mcpServers = """
{
  "Snyk": {
    "command": "npx",
    "type": "CUSTOM",
    "env": {},
    "args": [
      "-y",
      "snyk@latest",
      "mcp",
      "-t",
      "stdio"
    ]
  }
}"""