Update semgrep.yml

[ctcampbell]

Edit to semgrep.yml to match current recommendations from https://semgrep.dev/docs/semgrep-ci/sample-ci-configs#upload-findings-to-github-advanced-security-dashboard

Pre-requisites

• Prior to submitting a new workflow, please apply to join the GitHub Technology Partner Program: partner.github.com/apply.

---

Please note that at this time we are only accepting new starter workflows for Code Scanning. Updates to existing starter workflows are fine.

---

Tasks

For all workflows, the workflow:

• Should be contained in a .yml file with the language or platform as its filename, in lower, kebab-cased format (for example, docker-image.yml). Special characters should be removed or replaced with words as appropriate (for example, "dotnet" instead of ".NET").
• Should use sentence case for the names of workflows and steps (for example, "Run tests").
• Should be named only by the name of the language or platform (for example, "Go", not "Go CI" or "Go Build").
• Should include comments in the workflow for any parts that are not obvious or could use clarification.
• Should specify least privileged permissions for GITHUB_TOKEN so that the workflow runs successfully.

For CI workflows, the workflow:

• Should be preserved under the ci directory.
• Should include a matching ci/properties/*.properties.json file (for example, ci/properties/docker-publish.properties.json).
• Should run on push to branches: [ $default-branch ] and pull_request to branches: [ $default-branch ].
• Packaging workflows should run on release with types: [ created ].
• Publishing workflows should have a filename that is the name of the language or platform, in lower case, followed by "-publish" (for example, docker-publish.yml).

For Code Scanning workflows, the workflow:

• Should be preserved under the code-scanning directory.
• Should include a matching code-scanning/properties/*.properties.json file (for example, code-scanning/properties/codeql.properties.json), with properties set as follows:
  • name: Name of the Code Scanning integration.
  • creator: Name of the organization/user producing the Code Scanning integration.
  • description: Short description of the Code Scanning integration.
  • categories: Array of languages supported by the Code Scanning integration.
  • iconName: Name of the SVG logo representing the Code Scanning integration. This SVG logo must be present in the icons directory.
• Should run on push to branches: [ $default-branch, $protected-branches ] and pull_request to branches: [ $default-branch ]. We also recommend a schedule trigger of cron: $cron-weekly (for example, codeql.yml).

Some general notes:

• This workflow must only use actions that are produced by GitHub, in the actions organization, or
• This workflow must only use actions that are produced by the language or ecosystem that the workflow supports. These actions must be published to the GitHub Marketplace. We require that these actions be referenced using the full 40 character hash of the action's commit instead of a tag. Additionally, workflows must include the following comment at the top of the workflow file:

  # This workflow uses actions that are not certified by GitHub.
  # They are provided by a third-party and are governed by
  # separate terms of service, privacy policy, and support
  # documentation.
  

• Automation and CI workflows should not send data to any 3rd party service except for the purposes of installing dependencies.
• Automation and CI workflows cannot be dependent on a paid service or product.

[mustafacco7]

Very good

[mustafacco7]

قم بتعديل ملف semgrep.yml ليتوافق مع التوصيات الحالية من https://semgrep.dev/docs/semgrep-ci/sample-ci-configs#upload-findings-to-github-advanced-security-dashboard

المتطلبات المسبقة

• قبل تقديم سير عمل جديد، يرجى التقدم بطلب للانضمام إلى برنامج شركاء تقنية GitHub: partner.github.com/apply .

يرجى ملاحظة أنه في الوقت الحالي، لا نقبل سوى تدفقات العمل المبدئية الجديدة لفحص التعليمات البرمجية. لا بأس من إجراء تحديثات على تدفقات العمل المبدئية الحالية.

المهام

بالنسبة لجميع سير العمل، سير العمل:

• يجب أن يكون موجودًا في .ymlملف يحمل اسم اللغة أو المنصة، بتنسيق أقل حجمًا (على سبيل المثال، docker-image.yml). يجب إزالة الأحرف الخاصة أو استبدالها بكلمات حسب الاقتضاء (على سبيل المثال، "dotnet" بدلاً من ".NET").
• يجب استخدام حالة الجملة لأسماء سير العمل والخطوات (على سبيل المثال، "تشغيل الاختبارات").
• يجب تسميته فقط باسم اللغة أو المنصة (على سبيل المثال، "Go"، وليس "Go CI" أو "Go Build").
• يجب أن يتضمن سير العمل تعليقات على أي أجزاء غير واضحة أو تحتاج إلى توضيح.
• يجب تحديد أقل الأذونات امتيازًا حتى GITHUB_TOKENيتم تشغيل سير العمل بنجاح.

بالنسبة لتدفقات عمل CI ، تدفق العمل:

• ينبغي أن يتم حفظه تحت الدليلci .
• يجب أن يتضمن ملفًا مطابقًا ci/properties/*.properties.json(على سبيل المثال، ci/properties/docker-publish.properties.json).
• ينبغي أن يعمل على pushإلى branches: [ $default-branch ]وإلى .pull_request``branches: [ $default-branch ]
• ينبغي أن تعمل عمليات سير عمل التغليف releaseعلى types: [ created ].
• يجب أن يكون لسير عمل النشر اسم ملف يمثل اسم اللغة أو المنصة، بأحرف صغيرة، متبوعًا بـ "-publish" (على سبيل المثال، docker-publish.yml).

بالنسبة لعمليات سير عمل مسح الكود ، سير العمل:

• ينبغي أن يتم حفظه تحت الدليلcode-scanning .

• يجب أن يتضمن ملفًا مطابقًا code-scanning/properties/*.properties.json(على سبيل المثال، code-scanning/properties/codeql.properties.json)، مع تعيين الخصائص على النحو التالي:

  • name:اسم تكامل مسح الكود.
  • creator:اسم المنظمة/المستخدم الذي ينتج تكامل مسح الكود.
  • description:وصف موجز لتكامل مسح الكود.
  • categories:مجموعة من اللغات التي يدعمها تكامل Code Scanning.
  • iconName:اسم شعار SVG الذي يمثل تكامل مسح الكود. يجب أن يكون شعار SVG هذا موجودًا في الدليلicons .

• يجب أن يتم التشغيل على pushو branches: [ $default-branch, $protected-branches ]إلى pull_request. branches: [ $default-branch ]ونوصي أيضًا scheduleبتشغيل cron: $cron-weekly(على سبيل المثال، codeql.yml).

بعض الملاحظات العامة:

• يجب أن يستخدم سير العمل هذا فقط الإجراءات التي تم إنتاجها بواسطة GitHub، في actionsالمؤسسة ، أو
• يجب أن يستخدم سير العمل هذا فقط الإجراءات التي تنتجها اللغة أو النظام البيئي الذي يدعمه سير العمل. يجب نشر هذه الإجراءات في GitHub Marketplace . نطلب أن تتم الإشارة إلى هذه الإجراءات باستخدام تجزئة 40 حرفًا كاملة لتأكيد الإجراء بدلاً من علامة. بالإضافة إلى ذلك، يجب أن تتضمن سير العمل التعليق التالي في أعلى ملف سير العمل:

  # This workflow uses actions that are not certified by GitHub.
  # They are provided by a third-party and are governed by
  # separate terms of service, privacy policy, and support
  # documentation.
  

• لا ينبغي لعمليات سير عمل الأتمتة وCI إرسال البيانات إلى أي خدمة تابعة لجهة خارجية إلا لأغراض تثبيت التبعيات.
• لا يمكن أن تعتمد عمليات التشغيل الآلي وسير عمل CI على خدمة أو منتج مدفوع.