GitHub Планета

Мы не все на каникулах, и этим летом:
* Запустили GitHub Copilot https://github.com/features/copilot
* Запустили Projects https://github.blog/changelog/2022-07-27-github-issues-projects-now-generally-available/
* Запустили бету GitHub Pages + Actions https://github.blog/changelog/2022-07-27-github-pages-custom-github-actions-workflows-beta/
* Удвоили количество стран где работает GitHub Sponsors https://github.blog/2022-07-28-github-sponsors-available-in-30-new-regions-2/

Наши функции для безопасности кода и GHAS продолжают стремительно развиваться! За последие пару месяцев запустили:
* Dependency Graph REST API - позволяет добавлять dependencies которые не находятся в lock файлах
* Secret Scanning Push Protection Bypass Webhooks - теперь можно видеть все обходы push protection как через webhook так и через REST API
* Редактирование Secret Scanning Dry Runs
* Secret Scanning Dry Runs на уровне компании
* GHAS enablement webhook - все переключения GHAS и Secret Scanning теперь доступны через события webhooks
* Наша открытая база уязвимостей Advisory Database теперь содержит не только уязвимости в коде но и malware
* Dependency Review (наша интеграция Dependabot в Pull Requests) теперь позволяет фильтровать по уровню опасности и лицензии
* Dependabot Alerts теперь позволяет быстро работать с оповещениями
* Advisory Database теперь содержит все уязвимости из NVD, а не только из экосистем которые мы поддерживаем
* Поддержка Rust в Dependency Graph и Dependabot
* Интеграция Code Scanning Alerts в обсуждениях в Pull Request
* Мы продолжаем делать улучшения в поддержке GHAS продуктов на уровне компании - Dependabot Alerts теперь доступны на уровне компании (также как Security Overview и Secret Scanning)
* Для TypeScript разработчиков - теперь Dependabot синхронизирует обновления библиотек и @types
* Dependabot Alerts теперь показывают используете ли вы уязвимый метод (пока что поддерживается только Python)

Как я уже не раз писала GitHub Actions предоставляют гораздо больше возможностей, чем построение эффективного CI/CD. Но и для разработки Ci/CD они подходят замечательно. В феврале мы опубликовали блог, в котором описано как это сделать в 4 простых шага.

GitHub Rest API используется повсеместно. Но иногда найти и понять документацию было не так то просто. Мы надеемся мы исправили эту ситуцию. Как именно читайте в нашем блоге( Сама документация здесь )

Давно я не писала про наши может и маленькие, но крайне полезные улучшения. Вот некоторые из моих самых любимых последних: preview таб в маркдаун теперь автоматически скроллится на то место, где вы редактируете . Наш маркдаун поддерживает теперь не только Mermaid, но и topoJSON, geoJSON и ASCII STL Diagrams (и рендерит и как файлы. Подробности) Профиль теперь можно сделать конфеденциальным так же как и организационное README. При наведении курсора на label теперь отображается tooltip с ее описанием. Дискуссиям добавили возможность опроса. Дискуссии теперь возможны на уровне организации (крайне удобно если код вашего продукта не в монорепо). Также в организациях теперь можно прикрепить репозитории не покидая страницы репо (добавлен новый комбобокс). Всего можно прикрепить 6 публичных, частных или внутренних репо, которые будут видны членам организации (быстрый доступ к популярным репо).

Ну и наша постоянная рубрика как мы улучшаем новые issues 😃. Если вам не хватает каких-то фич – расскажите нам об этом здесь пожалуйста. Теперь issues и pull requests можно добавлять в проекты группами, а не по одному. Добавлена возможность из проекта изучать заархивированные идеи: кто и когда заархивировал. Фильтрация только заархиварованных элементов, восстановление. Добавлена возможность автоматического добавление issues к проектов с помощью GH Actions (подробности). Поля можно создавать и удалять теперь и со страницы Project Settings (подробности). Issue теперь можно редактировать и комментировать из проекта с помощью новой боковой панели, которую мы добавили (подробности) Последнию фичу мы например добавили как результат этого фидбека.

GitHub переведет разработчиков на 2FA до конца 2023 года - пересказ на Хабре оригинального поста нашего CSO . Tl;dr : до конца 2023 года все активные разработчики на GitHub должны будут установить как миниум один тип 2FA для своего эккаунта.

На Хабре появился перевод этой статьи : Знакомство со стековыми графами

5 простых действий которые помогут разработчику обезопасить свой код. ( tl;dr : сканировать код с помощью CodeQL, апдейтить зависимости с помощью Dependabot, добавлять защищенные бранчи в своё репо, установить как GitHub Actions могут быть использованы в вашем репо и использовать GITHUB_TOKEN вместо PAT )

Многоразовое воркфлоу GH Actions, которые можно использовать в разных репо вместо того, чтобы копировать один и тот же yaml - пост с подробностями ( и сравнение с составным воркфлоу) . Многоразовое воркфлоу не может хранится в прайвет репо - это серьезное ограничение. Однако если ваша организация Enterprise, то internal репо решает эту проблему. Для Enterprise так же существует фича  стартовых воркфлоу .

Если вы пользуетесь Гитом на Windows или делите машину с другими юзерами - проапдейте Git. Больше информации здесь

26 Апреля начинается GitHub InFocus - в этом году вас ждут 4 дня виртуальных сессий: вступительная сессия от наших лидеров, советы по безопасности программного обеспечения, сессии посвященные DevOps и многое другое. Записаться можно здесь . Расписание здесь

Если вы подписываетесь на ночной доклад от changelog вы получаете список самых горячих ( по их мненпию конечно, мы тут не при чем 😊) репозиториев на GitHub

И наши последние новости про Actions: теперь можно перезапустить только часть воркфлоуз (например упавшие), можно мониторить состояние кеша Actions, многоразовые воркфлоуз теперь GA (если один и тот же воркфлоу должен быть использован во многих рипо - например линтер или сканирование кода, особенно если он часто изменяется - это крайне необходимая фича IMHO), можно ограничить использование групп self-hosted runners только определенными воркфлоу

GitHub Actions - это гораздо больше чем просто Ci/CD: вы можете разработать любые воркфлоуз на основе ГитХаб ивентов которые только можно вообразить: строить дешбоарды, закрывать и открывать issues, проверять labels и ставить issues на соответствующую доску, добавлять обязательных ревьюеров на пул реквесты – что угодно. Вы можете видеть как всё это работало с помощью воркфлоу визуализации. Можете использовать GitHub-hosted раннеры ( виртуальные машины, которые запускаем и поддерживаем мы на Линукс, macOs и Windows ) и self hosted runners ( они предлагают гораздо больше контроля над железом, операционной системой и софтом чем те которые предоставляем мы – они могут быть на виртуальных машинах, физических, бежать в контейнерах on-premise или в клауде. Их можно добавить на любом уровне : отдельного репозитория, организации или энтерпрайза). Вы можете писать Actions сами или пользоваться десятками тысяч готовых и выложенных на marketplace.

И снова про issues. Отличная статья рассказывающая как теперь можно создать новый бранч из issue, рассказ про новый фичи от 23 Февраля ( более гибкие фильтры, новые графики, улучшения в итерациях) и от 10 марта (удобные фильтры чтобы видеть issues включенные и исключенные из проекта и добавление так давно ожидаемой причины закрытия как незапланированная работа)

Ну и новости про наш Enterprise: GitHub Enterprise Server 3.4 наконец GA. Масса новых фич включена : workflow, которые могут быть использованы во многих репозиториях вашей организации без утомительного копи паст и опасности пропустить репозиторий, где тоже надо поменять файл, сканирование Ruby кода в поисках уязвимостей, владельцы (owners) теперь могут удалять членов организации, владельцы могут присоединяться к организациям, добавлен стриминг логов аудита и Git ивентов организации в 3rd party системы , для Enterprise Cloud юзеров можно теперь конфигурировать доступ к алертам Dependabot и сканированию секретов и это далеко не полный список 😉 Еще немного о новых фичах для более эффективного управления энтерпрайзом и дальнейших планах можно прочитать здесь

Да, кстати - а вы подписались на GitHub Insider ?