GitHub führt REST-API für Kommentare zu Repository-Sicherheitswarnungen ein

GitHub hat eine Public Preview neuer REST-API-Endpunkte veröffentlicht, mit denen Entwickler Kommentare zu Repository-Sicherheitswarnungen programmatisch lesen, erstellen und bearbeiten können. Das Update umfasst auch Warnungen, die aus privaten Schwachstellenberichten generiert wurden, und bietet damit erstmals den lange geforderten programmatischen Zugriff auf Diskussionskontexte, der zuvor auf die Webanwendung von GitHub beschränkt war.

Automatisierung von Sicherheits-Triage und Audits

Die neuen Endpunkte ermöglichen es Teams, Kommentare zu einer Repository-Sicherheitswarnung aufzulisten – inklusive Filtermöglichkeiten nach Aktualisierungszeitpunkt – sowie einzelne Kommentare abzurufen, neue Antworten zu verfassen und bestehende Einträge zu aktualisieren. Um Entwicklern das Erkennen aktiver Diskussionen zu erleichtern, hat GitHub die Anzahl der Kommentare direkt in die Antworten für Repository-Sicherheitswarnungen sowie in globale Warnungsmeldungen für verknüpfte Hinweise integriert.

Durch die Öffnung von Diskussionssträngen für API-Aufrufe können Sicherheitsteams in Organisationen Triage-Notizen automatisieren, Protokolle für Compliance-Audits exportieren und Migrationsprozesse optimieren. Diese Funktionen erlauben es Entwicklern, Arbeitsabläufe im Schwachstellenmanagement an bestehende Automatisierungen anzupassen, die bereits für Standard-Issues und Pull-Requests genutzt werden.

Zugriffsregeln und Einschränkungen

Der Zugriff auf Kommentare zu Sicherheitswarnungen folgt strikt den bestehenden Berechtigungen für Repository-Sicherheitswarnungen. API-Aufrufe setzen die Berechtigung zum Anzeigen der übergeordneten Warnung zusammen mit dem entsprechenden Lese- oder Schreib-Token-Scope voraus. Personen ohne Kollaborationsrechte ist das Einsehen interner Kommentare untersagt, und vertrauliche Kommentare werden über diese REST-Antworten vollständig ausgeschlossen.

GitHub wies darauf hin, dass das Löschen von Kommentaren über die API in dieser ersten Version noch nicht unterstützt wird. Die Public Preview steht für öffentliche Repositories in den Tarifen GitHub Free, GitHub Pro, GitHub Team und GitHub Enterprise Cloud zur Verfügung.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Repository security advisory comments API in public preview