GitLab 11.9 发布，新增秘密自动检测

GitLab 11.9 已经发布，新增秘密自动检测和更多的合并请求审批规则集。GitLab 是一个软件开发生命周期支持工具，提供项目规划、源代码管理和 CI/CD 功能。

现在，秘密检测被包含在 GitLab 的静态分析安全测试（SAST）功能中。在CI 期间，GitLab 将扫描每个提交，检查是否包含秘密，比如API 密钥。如果找到，开发人员将在合并请求中自动获得通知。扫描的结果也显示在安全仪表板的SAST 报告中。任何启用了SAST 的应用程序都可以启用此功能。它还包含在 Auto DevOps 的默认配置中。

• GitLab UI 显示合并请求中的秘密检测（来自 GitLab ）

这个版本还包括经过改进的合并请求审批规则集。以前，可以指定个人或组获得所需的批准。使用这个版本，可以向合并请求添加多个规则，这允许用户要求特定个人的批准或来自特定组的任意数量的批准。GitLab 11.3 中引入的代码所有者也集成到审批规则中。此外，GitLab 现在支持根据文件的更改要求代码所有者批准合并请求。请注意，在本文写作时，由于回归问题，此功能被禁用。

随着这个版本的发布，ChatOps 的功能已经转移到开源版本中；以前，它只作为 Ultimate 版本的一部分提供。这让你可以在其支持的聊天应用程序中直接执行作业和接收状态更新。它目前支持 Slack 和 Mattermost。

基于 11.7 中发布的修复补丁文件特性，GitLab 现在可以检测漏洞并建议可能的补救措施。通过Web 界面，你可以从漏洞详细信息窗口创建一个合并请求，验证修复程序是否解决了问题，并将其合并到Master 中。该功能目前能够扫描 yarn 包管理器中的漏洞。

从 11.9 开始，GitLab 将包含所有安全作业的内置模板，比如 sast和dependency_scan。这些模板将兼容包含它们的 GitLab 版本。通过将这些内置模板包含到配置中，它们将自动更新到 GitLab 的新版本。注意，这种定义安全作业的方法现在否定了所有其他定义作业的方法。GitLab 建议更新到新的template关键字，因为对其他语法的支持最早可能在 GitLab 12.0 就被删除了。

该版本还包括以下若干其他小的改进：

• 容器扫描结果现在显示在组安全仪表板中；

• 现在可以回复任何评论并创建一个专题讨论；

• 现在包含了.NET 、 Go 、 iOS 和 GitLab Pages 项目模板；

• Web IDE 现在支持移动文件和目录；

• 合并请求、Epics 和问题中的标签现在按照字母排序了；

• 自动验证 Kubernetes CA 证书是否是以合法的 PEM 格式输入的；

• 现在可以在部署到 Kubernetes 集群以后编辑 Knative 域了；

• 子 Epics 得到增强，支持通过拖拽重新排序。

要了解更多的细节和在这个版本中包含的其他功能，请查看 GitLab 博客上的官方公告。GitLab 可以作为 SaaS 托管或自管理的解决方案试用。

查看英文原文： GitLab 11.9 Released With Automated Secrets Detection