Criando a tarefa Snyk para VSTS: uma entrevista com Jesse Houwing

Jesse Houwing é consultor principal na Xpirit. Recentemente, ele publicou uma tarefa para o Visual Studio Team Services (VSTS) que facilita a integração do Snyk ao fluxo de trabalho do VSTS. Achamos muito legal que ele tenha criado essa tarefa e quisemos saber um pouco mais sobre ela e como foi desenvolvida.

Por que você começou a usar o Snyk?

Eu desenvolvia tarefas de build para o Visual Studio Team Services e o Team Foundation Server (TFS) usando TypeScript e Node. Percebi que os módulos dos quais dependia mudavam com muita frequência e por vários motivos. Era difícil saber quais atualizações exigiam mais atenção. Desenvolvo essas tarefas no meu tempo livre. O Snyk me ajuda a identificar as atualizações de dependências que são importantes e merecem minha atenção. E não apenas durante o build, mas, principalmente, depois que publico minhas tarefas no Visual Studio Marketplace.

Por que você decidiu criar a tarefa para VSTS?

Eu usava projetos TypeScript do Visual Studio para criar minhas extensões. Embora eles permitam executar comandos npm, não fazia parte do meu fluxo de trabalho padrão descrever o processo de build no meu package.json. Muitas vezes, a única etapa com npm que uso no build é npm install. Além disso, eu queria armazenar meu token da API do Snyk no VSTS e disponibilizá-lo aos fluxos de trabalho de build. No momento, não é possível definir variáveis de build ou release globalmente no VSTS, mas as tarefas podem acessar tokens e segredos usando Service Endpoints.

É fácil configurar a tarefa Snyk para VSTS no seu ambiente VSTS.

Você pode descrever o processo de desenvolvimento da tarefa?

Eu já usava o Snyk sem um plugin havia algum tempo, mas, no MVP Summit em Seattle, Sam Guckenheimer mencionou o Snyk entre vários outros produtos de segurança interessantes. A maioria desses produtos era de grandes marcas e havia contribuído recentemente com uma tarefa para o Marketplace, mas o Snyk ainda não tinha uma.Na volta para Amsterdã, em um voo de cerca de 10 horas, abri o laptop e comecei a programar. Consegui criar uma estrutura inicial bem funcional enquanto depurava o código na minha instância local do TFS 2017.Durante o desenvolvimento, encontrei algumas incompatibilidades com o Windows, mas depois descobri soluções alternativas. Entrei em contato com o Snyk e resolvemos alguns dos problemas restantes, o que me permitiu publicar a versão de prévia.

Então você está usando a integração agora?

Atualmente, o Snyk protege minhas VSTS Variable Tasks, minha MsBuild Helper Task, a VSTS Snyk Task e as tarefas de build e release da extensão VSTS da Microsoft (que ajudo a manter). Outros desenvolvedores de extensões também começaram a usá-la, e tenho trabalhado com os Visual Studio ALM Rangers para ver se podemos usar o Snyk para proteger nossas extensões open source do Visual Studio Team Services.

Se alguém quiser experimentar a tarefa, onde pode encontrá-la?

A tarefa pode ser instalada diretamente pelo marketplace do VSTS. Para usá-la, basta instalá-la pelo marketplace, adicioná-la ao build e marcar algumas caixas de seleção.

Depois de instalar a tarefa pelo marketplace, você pode adicioná-la ao build com um clique.

O código-fonte também está disponível no GitHub para quem quiser contribuir.