Skip to content
SEO Optimizer is live, Audit on page SEO and AI-search readiness. Try it free
Scanverra
Entrar
Verificações de pull requestsFluxo de trabalho

Fluxo de trabalho

Verificações de pull requests

A Scanverra verifica cada pull request, comenta os problemas críticos e altos que ele adiciona e define o status scanverra/repo-scan. Problemas que já estão na branch de destino nunca bloqueiam um merge.

Exige um plano pago, uma conta do GitHub conectada e acesso de administrador ao repositório, porque a Scanverra adiciona um webhook nele.

Configuração

  1. 1

    Conecte o GitHub

    Na página Repo Scanner, conecte a conta do GitHub que é administradora do repositório.
  2. 2

    Abra as verificações de pull requests

    Clique no ícone de pull request ao lado do botão Verificar do repositório.
  3. 3

    Escolha quando verificar

    Verificar pull requests vem ativado. Ative Verificar pushes em branches para verificar também os pushes nas branches que você listar, por exemplo main, production. Depois clique em Ativar.
  4. 4

    Torne a verificação obrigatória (opcional)

    No GitHub, abra Settings e depois Branches, adicione uma regra para a branch principal e exija o status scanverra/repo-scan. Pull requests que adicionem problemas críticos ou altos não poderão ser mesclados.

O que a verificação analisa

Cada verificação é comparada com a mais recente da branch de destino do pull request. As descobertas são casadas por ferramenta, regra e arquivo (não por linha), então mover código antigo não o torna novo. O status é failure só quando o PR adiciona problemas críticos ou altos, e error se a verificação não terminou. A Scanverra mantém um comentário por PR e o atualiza a cada push.

O comentário no pull request
### ❌ Scanverra: 2 new critical or high issues

Score 72/100 · quality gate passed · compared with the latest scan of `main`

| Severity | Issue |
| --- | --- |
| 🔴 critical | Hardcoded API key (`src/lib/payments.ts:12`) |
| 🟠 high | SQL query built from user input (`src/api/orders.ts:48`) |

5 critical or high issues were already on `main` and don't block this PR.

Open the full report. From there you can open a fix pull request for the issues Scanverra can fix.

Verificações de pull requests ou GitHub Action?

As duas usam o mesmo scanner. Escolha a que combina com o seu jeito de trabalhar.

Verificações de PRGitHub Action
ConfiguraçãoUm botão na Scanverra. Sem arquivo de workflow.Um arquivo de workflow e um segredo do repositório.
Onde rodaNa Scanverra, depois que o GitHub envia o webhook.No seu runner do GitHub Actions.
CritérioProblemas críticos ou altos novos em relação à branch de destino.fail-on por gravidade, ou fail-on-new para o mesmo critério de código novo.
ResultadosComentário no PR, verificação de status e o relatório da Scanverra.Log do job, SARIF no code scanning e o relatório da Scanverra ao enviar.

A Action está documentada em CI/CD.

Solução de problemas

  • Nada aparece no pull request

    No GitHub, abra Settings do repositório e depois Webhooks, e confira a última entrega para a Scanverra. Um 401 significa que o segredo do webhook mudou: desative e ative as verificações de novo.

  • "O GitHub não permitiu um webhook neste repositório"

    A conta conectada não é administradora do repositório. Conecte uma conta que seja, ou peça a um administrador para ativar as verificações.

  • As verificações pararam depois de uma mudança de plano

    As verificações por webhook só rodam em planos pagos. Suas configurações ficam guardadas e voltam a funcionar quando o plano estiver ativo.

  • Todo problema conta como novo

    A branch de destino não tem verificação anterior para comparar. Verifique-a uma vez pela página Repo Scanner ou ative Verificar pushes em branches para main.