PR-Scans erneut ausführen

Jeder Pull Request wird automatisch gescannt, wenn er geöffnet wird, und bei jedem Push erneut. Die Scanner – Abhängigkeiten (fremforge/dep-scan), SAST (fremforge/sast), Lizenzen (fremforge/license-scan), Container-Image (fremforge/image-scan) und Signaturprüfung (fremforge/cosign-verify, nur informativ) – melden ihre Ergebnisse als Commit-Status am PR, und deine Branch-Schutzregeln machen den Merge davon abhängig.

Gelegentlich kann der Scan-Status eines PRs veralten, zum Beispiel wenn ein kurzzeitiger Plattformfehler dazu geführt hat, dass ein Status nie gemeldet wurde. Du musst dann keinen leeren Commit pushen (und einen vollständigen CI-Build abwarten), nur um die etwa einminütigen Scanner erneut laufen zu lassen. Führe sie stattdessen direkt erneut aus.

Die Scanner für einen PR erneut ausführen

curl -sS -X POST \
  -H "Authorization: Bearer <token with findings:write>" \
  https://frem.sh/_app/api/v1/orgs/<org>/repos/<repo>/pulls/<number>/rescan

Scope: findings:write.
Führt die Scanner gegen den aktuellen Head-Commit des Pull Requests erneut aus und meldet die fremforge/*-Commit-Status neu. Die Scanner sind in der Regel nach wenigen Sekunden fertig.
Idempotent: Du kannst den Aufruf beliebig oft wiederholen; die Ergebnisse werden pro Repository, Commit und Scanner dedupliziert. Ein neuer CI-Build wird nicht gestartet.
Berücksichtigt die Scan-Richtlinie deiner Organisation (ein Scanner, der für die Organisation oder das Repository auf off steht, läuft nicht), genau wie der automatische Scan beim Push.

Erfolg

{
  "repo_full_name": "acme/api",
  "pr_number": 42,
  "head_sha": "a1b2c3d4…",
  "scanners_enqueued": 5
}

Andere Antworten

Status	Bedeutung
`404`	Pull Request nicht gefunden.
`409`	Es wurde nichts erneut ausgeführt; `detail` nennt den Grund (zentrales PR-Scanning ist für die Organisation nicht aktiviert, die Organisation ist nicht abgedeckt, oder der Head-Commit konnte nicht aufgelöst werden).
`503`	PR-Scanning ist auf dieser Instanz nicht verfügbar.

Wann du es verwendest

Ein PR ist durch einen Scan-Status blockiert, der nie gemeldet wurde oder veraltet aussieht.
Du hast die Scan-Richtlinie deiner Organisation oder deines Repositorys geändert und möchtest einen offenen PR gegen die neue Richtlinie neu bewerten, ohne einen Commit zu pushen.

Das Verhalten des automatischen Scans und Details zu den einzelnen Scannern findest du unter Abhängigkeits-Scanning, SAST, Lizenz-Scanning, Image-Scanning und Signaturprüfung. Das vollständige Request- und Response-Schema steht in der API-Referenz.

SIEM-Weiterleitung Webhooks für Sicherheitsalarme