28 篇文章 含有標籤「Docker」

AI在程式碼審查中的角色：開發者永遠擁有合併按鈕 🛠️​

Source: GitHub Blog
重點總結：

• GitHub自2008年推出PR機制，結合社交流程（評論、批准與合併按鈕），將程式碼貢獻的責任硬性規定給開發者。
• 雖然大型語言模型(LLM)可以協助生成PR、回覆評論，但最終「合併」責任仍由人類開發者承擔。
• AI Review只能處理瑣碎事項（如未用到的import、缺少測試）且不能判斷設計是否符合產品需求或安全策略。
• GitHub Copilot的AI審查功能已正式推出，可以在IDE中預先自動檢測問題，減少人為瑣碎工作，讓開發者專注在重要決策上。
• AI目前能擅長「机械掃描」和「模式匹配」等重複性任務，但在架構、價值觀判斷和指導性教學上仍需人類干預。

我的看法：
AI的角色更多是擴充而非取代開發者的判斷力，能協助提升效率卻不會取代人類對於架構與價值的專屬決策。

用 Java 和 Spring AI 輕鬆建立 Generative AI 應用 🛠️🤖​

來源： Docker官方博客

這篇文章介紹如何使用 Java 和 Spring AI，不需學習 Python，便能快速構建本地的 GenAI 應用。重點在於整合 Docker Model Runner、Testcontainers 進行本地模型管理與測試，並利用 Grafana 進行觀測，提升開發與運維的效率。

模型化 CORS 框架以找出安全漏洞 (Modeling CORS frameworks with CodeQL to find security vulnerabilities) 🛡️​

Source: https://github.blog/security/application-security/modeling-cors-frameworks-with-codeql-to-find-security-vulnerabilities/

內容要點：

• CORS設定不當會導致安全漏洞，如允許任意網站存取危險端點，甚至可造成身份驗證被繞過。
• 使用CodeQL可以模型化Web框架中的header設置，監測潛在的配置錯誤，像是示範範例中 w.Header().Set("Access-Control-Allow-Origin", "*")，會允許任何來源存取。
• 對於反射來源（r.Header.Get("Origin")）搭配 Access-Control-Allow-Credentials為true的設置則更加危險，可能被攻擊網站利用。
• Model中會定義類別如 AllowCredentialsHeaderWrite 來匹配特定header write行為，並建立規則查詢包含非安全的 Allow-Origin 和 Allow-Credentials設置。
• 建模Web框架（例如Gin、Django等）的CORS middleware，模擬其設置結構和方法，以便在CodeQL中自動偵測潛在風險。
• 建立針對兩類CORS漏洞的專屬查詢（無認證跨域與有認證跨域），利用模型追蹤Header設定和配置變數的變更狀況，協助辨識錯誤配置。
• 案例中說明，簡單將headers設在HTTP回應中，容易被偵測，但若並未檢查Origin或Credentials的設定，則可能存在嚴重漏洞。

我的看法：

• 模型化Web框架header設置是一個強大且彈性高的安全分析方法，可用於自訂多種框架。
• 使用CodeQL能有效識別錯誤配置，降低CORS安全問題，值得開發者在安全審查中加入此技術。

Tags: [CORS, StaticAnalysis, CodeQL, WebSecurity, WebFrameworks]

本次內容涵蓋兩大主題：Git 項目的安全漏洞公告與 Docker Hub 新推出的 MCP 伺服器，兩者皆反映出在軟體開發與容器管理領域安全與智能化的新趨勢。以下將分別做詳細介紹。🔐🚀

🌟 本期內容涵蓋GitHub Copilot與MCP強化開發流程、Docker的AI助手Gordon、Netflix的內容傳輸優化技術，以及AV1影片色彩隱藏技術，展示最新AI與開發生態的應用與革新。

🎯 研究背景與目的​

這篇文章探討在建立 GenAI 應用時，選擇何種本地模型用於工具調用最合適。透過 Docker Model Runner 進行實驗，分析不同模型在工具調用上的表現，範例是模擬一個 AI 購物客服，測試模型呼叫工具（例如加入商品、搜尋商品）的能力。

GitHub Advisory Database: 掌握安全漏洞的趨勢與對策 🔒​

來源： https://github.blog/security/github-advisory-database-by-the-numbers-known-security-vulnerabilities-and-what-you-can-do-about-them/

內容摘要：
GitHub 的安全公告資料庫（Advisory DB）是開源專案安全監控的重要資源，收錄已知漏洞與惡意軟體資訊。2024 年，該資料庫經歷多項成長，包括審查數量、涵蓋生態系、來源擴充，且提供多種數據協助開發者進行漏洞優先修復。資料庫分類為：GitHub 審查、未審查、惡意軟體，範圍涵蓋 Python、Java、Node.js 等多個生態圈，並來自 NVD、GitHub、社群等多源，並且支持 CVE 編號與漏洞優先等級的實用數據。

GitHub Copilot Spaces：將正確的背景資訊帶入每個建議 💡​

Source: https://github.blog/ai-and-ml/github-copilot/github-copilot-spaces-bring-the-right-context-to-every-suggestion/