close-codescan

Close Code Scanning Command

功能说明

关闭指定的 Code Scanning（CodeQL）告警。在关闭前会要求用户确认并提供合理的理由，确保不会误关闭真实的安全风险。

执行流程

1. 获取告警信息

gh api repos/{owner}/{repo}/code-scanning/alerts/<alert-number>

验证告警状态：

• 如果已经是 dismissed 或 fixed 状态，提示用户并退出
• 如果是 open 状态，继续执行

2. 展示告警详情

向用户展示告警的关键信息：

🔍 Code Scanning 告警 #{alert-number}

严重程度: {security_severity_level} 🔴/🟠/🟡/🟢
规则: {rule.id} - {rule.description}
工具: {tool.name}
位置: {location.path}:{location.start_line}
消息: {message}

3. 询问关闭理由

使用 AskUserQuestion 工具让用户选择关闭理由：

问题: "为什么要关闭这个 Code Scanning 告警？"

选项:

1. 误报 (False Positive)

   • 描述: CodeQL 规则误判，代码实际上不存在此安全问题
   • 对应 API 参数: dismissed_reason: "false positive"

2. 不会修复 (Won't Fix)

   • 描述: 已知问题但基于架构或业务原因不予修复
   • 对应 API 参数: dismissed_reason: "won't fix"

3. 测试代码 (Used in Tests)

   • 描述: 仅在测试代码中出现，不影响生产环境安全
   • 对应 API 参数: dismissed_reason: "used in tests"

4. 取消

   • 描述: 不关闭告警
   • 操作: 退出命令

4. 要求详细说明

如果用户选择关闭（非"取消"），要求用户提供详细的文字说明：

请提供详细的关闭理由（将记录到 GitHub）:

说明要求：

• 最少 20 个字符
• 清晰说明为什么此告警可以安全关闭
• 如果是误报，说明为什么代码不存在此安全问题
• 如果是不修复，说明技术或业务原因

5. 最终确认

显示即将提交的信息，要求最终确认：

⚠️ 即将关闭 Code Scanning 告警 #{alert-number}

规则: {rule.id}
位置: {location.path}:{location.start_line}
关闭理由类别: {选择的理由}
详细说明: {用户输入的说明}

是否确认关闭？(y/N)

• 如果用户输入 y 或 yes，继续执行
• 否则，取消操作

6. 执行关闭操作

使用 GitHub API 关闭告警：

gh api --method PATCH \
  repos/{owner}/{repo}/code-scanning/alerts/<alert-number> \
  -f state=dismissed \
  -f dismissed_reason="{API参数}" \
  -f dismissed_comment="{用户的详细说明}"

API 参数映射：

• dismissed_reason 的有效值（根据 GitHub Code Scanning API）:
  • false positive: 误报
  • won't fix: 不修复
  • used in tests: 测试代码

7. 记录到任务（如果存在）

检查是否有相关的安全分析任务：

• 搜索 .ai-workspace/active/、.ai-workspace/blocked/、.ai-workspace/completed/ 中包含 codescan_alert_number: <alert-number> 的任务
• 如果找到，在任务文件中添加关闭记录：

closed_at: {当前时间}
closed_reason: {关闭理由类别}
closed_comment: {用户的详细说明}

并将任务移动到 completed/ 或 dismissed/ 目录（根据理由）