GitHub amplía la API GraphQL de Security Advisory con filtrado en el servidor y nuevos campos de metadatos

GitHub ha ampliado su API GraphQL SecurityAdvisory para ofrecer metadatos adicionales de los avisos de seguridad directamente en consultas individuales, reduciendo la necesidad de recurrir a la API REST en los flujos de trabajo de integración de seguridad.

Nuevos campos de metadatos para avisos de seguridad

La actualización de la API GraphQL incorpora cinco campos nuevos al objeto SecurityAdvisory. Las integraciones ahora pueden obtener el identificador CVE oficial mediante cveId, acceder a referencias directas al código afectado a través de sourceCodeLocation y consultar el aviso de seguridad del repositorio vinculado mediante repositoryAdvisoryUrl.

Asimismo, GitHub ha añadido un seguimiento de marcas de tiempo más preciso al objeto. Las consultas pueden solicitar githubReviewedAt para verificar cuándo completó GitHub su revisión, así como nvdPublishedAt para examinar cuándo publicó su registro la National Vulnerability Database.

Filtrado de consultas en el lado del servidor

Para agilizar la extracción de datos, la consulta securityAdvisories ha recibido dos filtros dedicados en el servidor: severities e isWithdrawn. Estas incorporaciones permiten a las aplicaciones filtrar los resultados en los servidores de GitHub en lugar de descargar grandes volúmenes de datos para procesarlos en el cliente.

Estos nuevos argumentos complementan los filtros de consulta existentes, entre los que se incluyen la clasificación, el identificador, la puntuación EPSS y las marcas de tiempo de actualización. Al permitir consultas focalizadas, los desarrolladores pueden construir canales especializados, como fuentes de triaje basadas en la gravedad o auditorías de avisos retirados.

Eficiencia del flujo de trabajo y mecánica de la API

Al consolidar los atributos de los avisos dentro de la interfaz GraphQL, las integraciones funcionan bajo un modelo de autenticación unificado y un único límite de solicitudes. La inclusión de campos directos reduce los trayectos de red entre los extremos de GitHub y las plataformas de seguridad externas.

Todas las actualizaciones del esquema son de solo lectura y aditivas, lo que garantiza la compatibilidad con las consultas GraphQL existentes sin interrumpir las implementaciones de los desarrolladores.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: New fields for SecurityAdvisory GraphQL API