🧪 Ubah setiap temuan yang terdeteksi menjadi bukti khusus pertahanan yang bisa dijalankan, untuk pengungkapan yang bertanggung jawab.

Untuk setiap temuan di peta detect, prove menulis advisori keamanan yang berdiri sendiri dan sebuah tes yang memastikan jalur aman, sehingga tes gagal selama masalahnya masih ada dan lolos begitu kodenya diperbaiki.

tip

Tes Lagune terisolasi di .lagune/, terpisah dari rangkaian tes Anda sendiri.

Cara menggunakan

Semua temuan

/lagune-prove

Temuan tertentu

Lihat nama temuan yang sudah dilacak:

npx lagune read list --findings

# Findings
#   ...
#   • SQL injection pada pencarian pengguna
#   ...

# Lalu buktikan salah satunya
/lagune-prove SQL injection pada pencarian pengguna

Cara kerjanya

Prove membaca kode sumber yang ditunjuk setiap temuan, lalu menulis satu direktori untuk setiap temuan yang terbukti di bawah .lagune/proofs/, berisi tepat dua file:

File	Isinya
report.test.mjs (atau .cjs)	Tesnya. Tes berjalan di Poku jika proyek Anda sudah menggunakannya, dan jika tidak, di test runner bawaan Node.js, jadi tidak perlu menginstal apa pun.
report.md	Advisori keamanan yang berdiri sendiri: tingkat keparahan, dampak, cara mereproduksinya, dan perintah untuk menjalankannya, bisa dibaca tanpa konteks lain.

Pembuktiannya selalu dalam JavaScript, jadi tetap portabel apa pun bahasa pemrograman proyek Anda. Indeks README.md menautkan setiap pembuktian dan menyediakan satu perintah untuk menjalankan semuanya.

tip

• Prove bersifat opsional dan mandiri: bukan salah satu dari lima fase, dan bukan bagian dari rantai pelacakan.
• Prove hanya menulis ke .lagune/proofs/ dan tidak pernah menyentuh artefak fase atau kode Anda, yang hanya dibacanya.
• Temuan yang tesnya tidak bisa mereproduksi masalah tidak mendapat pembuktian, dan prove meminta Anda menjalankan /lagune-detect di titik itu untuk menyelaraskannya dengan kondisi terkini.
• Menjalankannya lagi akan menyelaraskan pembuktian dengan kondisi terkini: direktori milik temuan yang sudah hilang atau tidak lagi bisa direproduksi akan dihapus.

important

Prove hanya berjalan saat Anda memanggilnya: agen tidak pernah memulainya atas inisiatif sendiri.

Bertumpu pada detect

Prove membaca peta detect dari /lagune-detect, jadi jalankan detect terlebih dahulu.

Khusus pertahanan, dan dengan izin

Sebelum menghasilkan apa pun, prove memastikan Anda berwenang menguji target tersebut, dan menolak setiap permintaan eksploit yang berfungsi, payload serangan, atau cara menghindari deteksi. Pembuktian menunjukkan perilaku yang aman, dan tidak pernah menghasilkan input serangan.

Dari pembuktian ke pengungkapan

Dua file dari setiap temuan yang terbukti dimasukkan bersama ke dalam GitHub Gist privat untuk melaporkan kerentanannya. Keduanya adalah bukti masalah yang masih aktif dan belum diungkapkan, jadi .gitignore di dalam .lagune/proofs/ menjaganya tetap di luar setiap commit: bagikan hanya lewat Gist itu sampai maintainer menyelesaikan masalahnya.

Menutup temuan di rantai Lagune tetap menjadi tugas /lagune-harden dan /lagune-verify: prove menghasilkan bukti, tidak menutup apa pun.

Pertanyaan yang sering diajukan

Tidak. /lagune-prove menulis bukti khusus pertahanan: sebuah tes yang memastikan jalur aman, sehingga gagal selama masalahnya masih ada dan lolos begitu kodenya diperbaiki, ditambah advisori keamanan untuk pengungkapan yang bertanggung jawab.

Dua file per temuan: sebuah tes (report.test.mjs atau .cjs) dan sebuah advisori keamanan (report.md).

Prove menulis advisori keamanan yang berdiri sendiri, yang bisa Anda bagikan lewat saluran privat seperti GitHub Gist privat, sesuai prinsip pengungkapan yang bertanggung jawab.