Creación de la tarea de Snyk para VSTS: una entrevista con Jesse Houwing

Jesse Houwing es consultor principal en Xpirit. Hace poco publicó una tarea para Visual Studio Team Services (VSTS) muy útil que facilita la integración de Snyk en tu flujo de trabajo de VSTS. Nos parece fantástico que la haya creado, así que quisimos conocer un poco más sobre la tarea y cómo la desarrolló.

¿Por qué empezaste a usar Snyk?

He estado creando tareas de compilación para Visual Studio Team Services y Team Foundation Server (TFS) con TypeScript y Node, y descubrí que los módulos de los que dependía cambiaban con mucha frecuencia y por diversos motivos. Era difícil saber a qué actualizaciones debía darles más prioridad. Creo estas tareas en mi tiempo libre. Snyk me ayuda a detectar las actualizaciones de dependencias que son importantes y merecen mi atención. Y no solo durante la compilación, sino también, y sobre todo, después de publicar mis tareas en Visual Studio Marketplace.

¿Por qué decidiste crear la tarea para VSTS?

He estado usando proyectos de TypeScript de Visual Studio para crear mis extensiones. Aunque admiten la ejecución de comandos npm, no era habitual incluir el proceso de compilación en mi archivo package.json. Muy a menudo, el único paso de npm que uso en mi compilación es npm install. Además, quería almacenar mi token de API de Snyk de forma centralizada en VSTS y pasarlo a mis flujos de trabajo de compilación. Actualmente no es posible definir variables de compilación o lanzamiento a nivel global en VSTS, pero las tareas pueden acceder a tokens y secretos mediante Service Endpoints.

La tarea de Snyk para VSTS se puede configurar fácilmente en tu entorno de VSTS.

¿Puedes describir el proceso de desarrollo de la tarea?

Llevaba un tiempo usando Snyk sin un complemento, pero en la cumbre MVP en Seattle, Sam Guckenheimer mencionó Snyk junto con muchos otros productos de seguridad interesantes. La mayoría eran marcas reconocidas y habían contribuido recientemente con una tarea a Marketplace, pero Snyk aún no tenía una.
Durante el vuelo de regreso a Ámsterdam, que dura unas 10 horas, abrí mi laptop y me puse a programar. Logré crear un esqueleto funcional bastante sólido mientras depuraba con mi instancia local de TFS 2017.
Durante el desarrollo, encontré algunas incompatibilidades con Windows y más adelante hallé soluciones alternativas. Después de contactar a Snyk, resolvimos algunos de los problemas restantes y pude publicar la versión preliminar.

Entonces, ¿estás usando la integración ahora mismo?

Actualmente, Snyk protege mis tareas VSTS Variable Tasks, MsBuild Helper Task, VSTS Snyk Task y las tareas de compilación y lanzamiento de extensiones de VSTS de Microsoft, cuyo mantenimiento ayudo a realizar.
Otros desarrolladores de extensiones también empezaron a usarla, y he estado colaborando con Visual Studio ALM Rangers para ver si podemos usar Snyk para proteger nuestras extensiones de código abierto de Visual Studio Team Services.

Si alguien quiere probar la tarea, ¿dónde puede encontrarla?

Puedes instalar la tarea directamente desde VSTS Marketplace. Para usarla, solo tienes que instalarla desde Marketplace, agregarla a tu compilación y marcar un par de casillas.

Una vez instalada la tarea desde Marketplace, puedes agregarla a tu compilación con solo hacer clic en un botón.

El código fuente también está disponible en GitHub para quienes quieran contribuir.