Créer la tâche Snyk pour VSTS : entretien avec Jesse Houwing

Jesse Houwing est consultant principal chez Xpirit. Il a récemment publié une tâche très utile pour Visual Studio Team Services (VSTS) qui facilite l’intégration de Snyk à votre workflow VSTS. Nous trouvons sa création vraiment formidable et voulions en savoir plus sur cette tâche et sa réalisation.

Pourquoi avez-vous commencé à utiliser Snyk ?

Je développais des tâches de build pour Visual Studio Team Services et Team Foundation Server (TFS) avec TypeScript et Node, et j’ai constaté que les modules dont je dépendais changeaient très souvent, pour de nombreuses raisons. Il était difficile de savoir quelles mises à jour traiter en priorité. Je développe ces tâches sur mon temps libre. Snyk m’aide à repérer les mises à jour des dépendances qui sont importantes et nécessitent mon attention. Et pas seulement pendant le build, mais surtout après la publication de mes tâches sur le Visual Studio Marketplace.

Pourquoi avez-vous finalement créé cette tâche pour VSTS ?

J’utilisais les projets Visual Studio TypeScript pour créer mes extensions. Bien qu’ils prennent en charge l’exécution de commandes npm, intégrer la définition de mon processus de build dans mon package.json ne faisait pas vraiment partie de mon workflow habituel. Très souvent, la seule étape npm de mon build est npm install. De plus, je voulais stocker mon jeton d’API Snyk de manière centralisée dans VSTS et le transmettre à mes workflows de build. Pour le moment, il n’est pas possible de définir des variables de build ou de release à l’échelle globale dans VSTS, mais les tâches peuvent accéder aux jetons et aux secrets à l’aide des points de terminaison de service.

La tâche Snyk pour VSTS se configure facilement dans votre environnement VSTS.

Pouvez-vous décrire le processus de développement de cette tâche ?

J’utilisais Snyk depuis un certain temps sans plugin, mais lors du MVP Summit à Seattle, Sam Guckenheimer a cité Snyk parmi de nombreux autres produits de sécurité intéressants. La plupart étaient de grandes marques et avaient récemment contribué une tâche au Marketplace, mais Snyk n’en avait pas encore. Sur le vol de retour vers Amsterdam, qui dure environ 10 heures, j’ai ouvert mon ordinateur portable et me suis mis à coder. J’ai réussi à créer un squelette fonctionnel assez solide, en le déboguant sur mon instance locale de TFS 2017. Pendant le développement, j’ai rencontré quelques incompatibilités avec Windows, pour lesquelles j’ai ensuite trouvé des solutions de contournement. Après avoir contacté Snyk, nous avons résolu quelques-uns des problèmes restants, ce qui m’a permis de publier la version préliminaire.

Vous utilisez donc l’intégration actuellement ?

Pour l’instant, Snyk protège mes tâches VSTS Variable Tasks, MsBuild Helper Task, VSTS Snyk Task et les tâches de build et de release pour les extensions VSTS de Microsoft (que je contribue à maintenir). D’autres développeurs d’extensions ont également commencé à l’utiliser et je travaille avec les Visual Studio ALM Rangers pour voir si nous pouvons utiliser Snyk afin de protéger nos extensions open source pour Visual Studio Team Services.

Où trouver la tâche si l’on souhaite l’essayer ?

La tâche peut être installée directement depuis le Marketplace VSTS. Pour l’utiliser, il suffit de l’installer depuis le Marketplace, de l’ajouter à votre build et de cocher quelques cases.

Une fois la tâche installée depuis le Marketplace, vous pouvez l’ajouter à votre build d’un simple clic.

Le code source est également disponible sur GitHub pour celles et ceux qui souhaitent contribuer.