search

secguro / secguro-cli

0 stars 0 forks source link

ohne internetverbindung auskommen #162

Open m1cm1c opened 4 months ago

m1cm1c commented 4 months ago

auf der interneseite von semgrep steht: "Speedy and offline: Semgrep runs offline on every keystroke" (https://semgrep.dev/docs/faq#speedy-and-offline-semgrep-runs-offline-on-every-keystroke)

aber: semgrep funktioniert nicht ohne internetverbindung: semgrep scan crasht sofort und gibt einen stacktrace aus, wenn keine internetverbindung besteht / der dns-dienst semgrep.dev nicht auflösen kann. semgrep ci kommt nicht aus der phase "Initializing scan" heraus und crasht nach einiger zeit mit einem stacktrace

ich vermute, dass große unternehmen ihre CI auf servern hinter einer firewall ausführen und eine verbindung zu irgendwelchen zufälligen servern daher oft nicht möglich ist (weiß es aber nicht). siehst du das auch so / siehst du den einsatz in solchen umgebungen überhaupt als anwendungsfall der zielgruppe?

m1cm1c commented 4 months ago

man kann semgrep offline ausführen, indem man das ruleset zuvor herunterlädt und dann angibt. außerdem muss man den version check deaktivieren

vorbereitung mit internetverbindung:

curl https://semgrep.dev/c/p/ci > /tmp/cache.yml

ausführung ohne internetverbindung:

semgrep scan --disable-version-check --config /tmp/cache.yml

das problem wäre also recht leicht zu lösen: wir müssten nur prüfen, ob wir das rule set mitliefern dürfen, oder ob das rechtliche probleme gäbe

man muss nicht mal $HOME auf einen pfad ändern, in dem man nicht in semgrep eingeloggt ist. das reporting an den server scheint dann einfach ohne crash und fehlermeldung übersprungen zu werden

MStumpp commented 4 months ago

Stellen wir erstmal zurück. Ich würde gerne vorher noch andere grundsätzliche Themen bearbeiten. Aktuell gehen wir von einer bestehenden Internetverbindung aus.