Actions de l'agent
Il exécute des commandes et affiche les résultats réels dans le chat.
Produit
Test d'injection SQL en ligne : un agent pour votre copie de staging
01
Beaucoup de développeurs recherchent un test d'injection SQL en ligne lorsqu'ils veulent vérifier leur propre code, mais CodeSpar n'est pas un service en ligne. Il exécute des outils sur votre PC contre votre propre copie de staging et affiche les résultats dans le chat. De même, les gens cherchent souvent un scanner d'injection SQL en ligne, mais CodeSpar n'est pas un scanner en ligne. Il gère le flux de travail à l'aide de vos commandes shell locales sur une copie de staging, ce qui garantit que vous ne testez que ce qui vous appartient.
Fichiers et code
Il modifie les fichiers et affiche les différences avant que vous n'acceptiez les modifications.
Votre contrôle
Vous choisissez le mode ; en Ask first vous approuvez les modifications.
Fonctionnalités pour vos propres tests
- Fichiers read_file, write_file, edit_file, grep et liste des fichiers dans le dossier du chat.
- Shell exécute des commandes terminal et rapporte le code de sortie réel.
- Web effectue des recherches sur le web et lit les pages de documentation officielles.
- Captures d'écran et images enregistre des images et lit le texte des captures d'écran.
- Orchestration utilise des sous-agents parallèles et des playbooks de compétences réutilisables.
- Modes d'approbation Auto-run, Ask first et Plan only pour la sécurité.
- Cron exécute vos invites selon un calendrier pour vérifier votre application.
- Modèles se connecte au cloud, local ou au point de terminaison du modèle intégré.
Comment l'agent aide à vos tests
L'agent trouve les appels à la base de données et réécrit les requêtes à l'aide d'instructions paramétrées. Il vérifie l'encodage de sortie et s'assure des en-têtes de sécurité sur votre site de staging.
Trouvez toutes les requêtes de base de données dans le code source et listez-les. Vérifiez le fichier injection-test-plan.txt pour le plan de test. Exécutez les tests via le shell. Vérifiez les en-têtes de sécurité à l'aide de http_get.
- grep
grep -r "SELECT" --include="*.py3 correspondances - read_file
injection-test-plan.txtlu 12 lignes - edit_file
src/query.pysauvegardé - Shell
run testsexit 0 - http_get
http_get https://staging.codesmite.net200 ok
en attente de votre validation avant l’étape suivanteRejeterAccepter
Tutoriels pour votre copie de staging
Trouver et corriger une injection SQL
L'agent utilise grep pour rechercher dans le code source les appels à la base de données et edit_file réécrit le code pour utiliser des requêtes paramétrées tout en vous montrant la différence exacte. Il s'agit d'un test. Vous examinez les modifications en mode Ask first avant d'accepter la mise à jour. Shell exécute vos tests unitaires pour confirmer que la correction fonctionne sans casser l'application. Mettez en place une copie de staging avec des données factices et une sauvegarde pour des tests sûrs. Accordez au compte de la base de données des droits faibles pour éviter tout dommage accidentel lors du test d'injection SQL en ligne. La traçabilité du xss dom de la source au puits nécessite une analyse minutieuse de la logique de l'application. Utilisez le scanner d'injection SQL pour vérifier vos résultats et examiner les résultats.
Vérifier le XSS et les en-têtes
L'agent utilise http_get pour récupérer une page de votre site de staging et lit le code d'état, afin de vérifier que l'en-tête Content-Security-Policy est présent sur la page et de confirmer la posture de sécurité. Vous examinez le plan. Plan only écrit un plan détaillé et n'exécute rien du tout pendant cette phase. Vous passez en mode Ask first pour appliquer les correctifs en toute sécurité et correctement. Vous gardez le travail sur votre propre site de staging pour la confidentialité. L'agent lit le fichier pour confirmer que la sortie est correctement encodée. L'éditeur note les modifications dans la différence pour votre examen. Le compte de la base de données de test a les droits les plus faibles possibles qui fonctionnent efficacement, et vous pouvez vérifier le score cvss pour l'injection SQL afin de prioriser les résultats.
Ce que CodeSpar ne fait pas
Ce n'est pas un service hébergé ou un plugin. Il est destiné uniquement à vos propres fichiers, PC et serveurs que vous êtes autorisé à utiliser. Vous gardez le travail à l'intérieur. L'agent n'impose pas le périmètre. Shell, web et SSH ne sont pas limités aux dossiers. Il n'y a aucune garantie que le code, les analyses ou les analyses soient corrects.
