Durchsetzung von Quality Gates

Die Quality Gates von Codacy blockieren einen Pull-Request, wenn der Code einen definierten Qualitäts- oder Coverage-Schwellenwert nicht erreicht. Ein Beam-Agent überwacht das Fehlschlagen eines Gates, liest aus, welche Regel das Fehlschlagen ausgelöst hat und welche Dateien betroffen sind, und wendet dann die vom Kunden genehmigte Routing-Regel an, um den verantwortlichen Entwickler oder Team-Kanal direkt zu benachrichtigen. Sofern die Connector- und Kontoberechtigungen dies zulassen, kann der Agent den spezifischen fehlerhaften Messwert auch direkt im Pull-Request kommentieren. Umstrittene Schwellenwerte, wiederholte Fehler in derselben Datei und jegliche Anträge auf Aufhebung eines Gates werden zur Entscheidung an einen menschlichen Reviewer weitergeleitet.

Annotationen zu Problemen in Pull-Requests

Codacy postet Inline-Probleme in einem Pull-Request-Diff, die Stil-, Komplexitäts- und Duplizierungsprobleme abdecken, die während der Analyse gefunden wurden. Ein Beam-Agent liest diese Annotationen beim Posten, gruppiert sie nach Schweregrad und Dateiinhaber und wendet eine genehmigte Regel an, um nur die Probleme an den richtigen Entwickler weiterzuleiten, die einen bestimmten Schweregrad überschreiten. So bleiben unwichtigere Hinweise aus den Posteingängen aller Beteiligten fern. Er kann auch ein Tracking-Ticket aktualisieren, sobald sich die Anzahl für ein Repository ändert. Unklare Schweregradeinstufungen und Probleme, die gemeinsamen oder veralteten Code betreffen, werden für die endgültige Entscheidung an einen Menschen übergeben.

Sicherheitsprüfung und Schwachstellenscan

Die Sicherheitsanalyse von Codacy kennzeichnet anfällige Muster und Abhängigkeitsrisiken in der gesamten Codebasis, sobald Commits eingespielt werden. Ein Beam-Agent überwacht neue Befunde, liest die betroffenen Pakete oder Dateien aus und wendet die für diese Risikostufe genehmigte Regel an – zum Beispiel das Öffnen eines Tickets oder das Senden einer Nachricht an den Sicherheitskanal, wenn ein Problem mit hohem Schweregrad auftritt. Sofern die Berechtigungen es zulassen, kann er Befunde schließen, sobald ein Fix gemergt wurde und der Scan fehlerfrei zurückkehrt. Alles, was Produktions-Anmeldedaten, eine umstrittene Schweregradeinstufung oder einen Fix betrifft, der die gemeinsame Infrastruktur berührt, wird an einen Menschen zur Bestätigung weitergeleitet, bevor Maßnahmen ergriffen werden.